Un'analisi condotta dal ricercatore di sicurezza Pedro Fal� per conto della societ� Bitsight ha portato alla luce una complessa infrastruttura di frode pubblicitaria integrata all'interno di lettori multimediali e TV box di fascia bassa. I dispositivi esaminati, in particolare quelli commercializzati sotto il marchio H96, sfruttano la connessione internet domestica come proxy residenziale, e simulano costantemente il comportamento di smartphone registrati a nome di produttori come Samsung, Vivo, Huawei e Xiaomi per generare falsi clic su annunci pubblicitari.
Fal� � riuscito a inserirsi nel traffico della rete registrando un dominio scaduto, precedentemente impiegato per raccogliere la telemetria di decine di migliaia di chiavette TV. Analizzando i dati inviati da circa 38.000 apparati distribuiti a livello globale, il ricercatore ha riscontrato come tutti i TV box segnalassero al server centrale la presenza di due sole applicazioni specifiche. Tali software sono stati sviluppati dalla Zhejiang Fengwo IoT Technology, un'azienda nata in Cina continentale nel 2019 che gestisce un network editoriale sotto la denominazione di Fengwo Group.
Il meccanismo architettato dal gruppo poggia sulla creazione di siti web riempiti di articoli e immagini generati tramite intelligenza artificiale su temi che spaziano dalla finanza alla salute. Le pagine non mostrano alcun banner pubblicitario a meno che il visitatore non presenti l'impronta digitale simulata di uno smartphone. Per istruire i dispositivi sulle routine di truffa, gli operatori utilizzano una versione personalizzata di Blockly, un linguaggio di programmazione visiva sviluppato da Google. Questa interfaccia a blocchi consente anche a personale non specializzato di assemblare i flussi di navigazione, traducendoli in script JavaScript inviati direttamente alle chiavette.
