A Bitsight afirma que algumas caixas de TV Android baratas têm sido vendidas com aplicativos que reescrevem a identidade do hardware para imitar celulares da Samsung, Huawei, Xiaomi ou Vivo, e em seguida clicam em anúncios em sites administrados pelos próprios operadores.
Os pesquisadores batizaram a operação de Fuyao e a atribuíram à empresa Zhejiang Fengwo IoT Technology Co., Ltd. (empresa de tecnologia da Internet das Coisas), sediada na China continental e fundada em 2019.
Os mesmos aplicativos têm uma segunda função. Quando a caixa detecta um sinal HDMI (interface de vídeo e áudio), ela geralmente passa a retransmitir o tráfego de outras pessoas por meio da linha de banda larga do dono, atuando como nó de saída SOCKS5 (protocolo que permite encaminhar conexões de rede por um intermediário). Com o HDMI desligado, ela volta a aguardar tarefas de fraude de anúncios.
A Bitsight descobriu a operação ao registrar um domínio expirado usado como porta de entrada de fábrica e coletor de telemetria. A maioria dos dispositivos identificáveis informava o nome de modelo H96_MAX_V11, embora a Bitsight tenha esclarecido que sua visão por meio do sinkhole (armadilha que captura o tráfego que iria para servidores maliciosos) estava viesada para modelos mais antigos de uma marca e não permitiu montar uma lista completa de modelos afetados.
Em um único dia, após filtrar os dispositivos que carregavam os aplicativos do Fuyao, o sinkhole recebeu 65.957 relatórios de cerca de 38.000 endereços MAC (identificador único da placa de rede) distintos. A maior parte dos relatórios descrevia os dispositivos como celulares. Esse não é um número confirmado de dispositivos, pois o sistema pode rotacionar identificadores falsificados.
O relatório mostra ainda que a Fengwo anuncia mais de 120.000 "humanos digitais de IA (inteligência artificial)", mas não esclarece o que essa expressão de marketing de fato contabiliza. Esses números não são intercambiáveis e nenhum deles corresponde ao tamanho físico da frota. O Google afirmou ao The Hacker News que os dispositivos sem marca não eram dispositivos Android certificados pelo Play Protect (programa de segurança do Google que verifica aplicativos no Android).
O servidor de comando e controle (C2) envia perfis completos de celular para cada dispositivo, mesclando uma configuração base com um diferencial por modelo e apagando propriedades do chipset que revelariam uma placa Rockchip, Amlogic ou Allwinner por baixo.
O Fuyao usa visão computacional dentro de seu fluxo de automação para localizar anúncios. O aplicativo Script carrega um modelo de detecção de objetos chamado YOLOv8s, denominado lourui_2, treinado em 12 elementos de tela, incluindo regiões genéricas de banners e widgets (blocos de conteúdo interativo) da Taboola. O aplicativo combina o modelo com dados de acessibilidade do Android e reconhecimento óptico de caracteres (OCR) do Google ML Kit (conjunto de bibliotecas de aprendizado de máquina do Google).
Pedro Falé, pesquisador de ameaças da Bitsight, escreveu que a operação "funde três sistemas de visão e raciocínio em uma única interface".
Os operadores montam a lógica das campanhas em um editor personalizado construído sobre o Blockly, o framework de programação visual do Google baseado em arrastar e soltar. Eles exportam cada rotina de fraude como JavaScript, fazem o upload para o S3 (serviço de armazenamento em nuvem da Amazon) e a enviam para a caixa, que a executa.
Em quatro dispositivos de teste, a Bitsight capturou cerca de 40 tarefas de fraude, 21 campanhas únicas e 166 módulos únicos. Um comentário recuperado de desenvolvedor dizia que o sistema de templates permitia que um pequeno grupo de engenheiros experientes apoiasse operadores de campanha menos qualificados, reduzindo custos.
A cadeia de pagamentos do Fuyao passa por uma rede de publicação. A Bitsight mapeou 144 domínios próprios dos operadores em sete grupos de beneficiários. Pelo menos 84 deles carregavam uma tag (etiqueta de rastreamento) da Taboola na página inicial. Os pesquisadores disseram ter usado o arquivo público sellers.json da Taboola para conectar os domínios a entidades receptoras de receita em Hong Kong e Cingapura. A Bitsight estimou o retorno bruto em US$ 1,25 por dispositivo por dia, ou cerca de US$ 47.500 diários caso 38.000 dispositivos estivessem ativos.
Em outra estimativa, a receita anual poderia chegar a US$ 40 milhões no tamanho de frota anunciado, considerando 30% a 40% de sinalização de fraude e uma taxa de preenchimento de anúncios de 70%, mas o cálculo completo não foi apresentado. Esses valores são estimativas, não receita observada.
A atribuição à Fengwo se baseia na Bitsight, que citou dados compartilhados de certificado TLS (protocolo que protege conexões HTTPS), arquivos expostos em wiki, endereços de e-mail reutilizados, vínculos de receita e patentes.
Registros públicos de patentes chinesas identificam, de forma independente, a Zhejiang Fengwo como titular de tecnologias relacionadas à execução e monitoramento de humanos digitais. A CN117421142B, concedida em novembro de 2024, cobre o rastreamento do fluxo de execução de módulos de comportamento de humanos digitais, enquanto a CN117478834A descreve o monitoramento de telas remotas por meio de miniaturas hospedadas em nuvem e comparação de quadros-chave. Nenhum dos pedidos descreve publicidade, e os registros não comprovam que a empresa operou o Fuyao ou se envolveu em fraude de anúncios.
As fontes consultadas também não esclarecem quem instalou os aplicativos nem em que ponto da cadeia de suprimentos dos dispositivos eles surgiram.
Até as 7h48 (horário de Brasília) do dia 31 de julho de 2026, o índice do blog da Bitsight ainda listava apenas o panorama sobre o Fuyao divulgado em 30 de julho, e o The Hacker News não encontrou nenhum dos prometidos desdobramentos técnicos em buscas pelo título exato. O material analisado ainda carecia de uma lista completa de pacotes afetados, versões de firmware e indicadores de rede. Assim, as orientações específicas para identificar o Fuyao continuam incompletas.
"Esses dispositivos sem marca não eram dispositivos Android certificados pelo Play Protect. Se um dispositivo não é certificado pelo Play Protect, o Google não tem um registro dos resultados de testes de segurança e compatibilidade. Dispositivos Android certificados pelo Play Protect passam por testes extensivos para garantir qualidade e segurança do usuário. Para ajudar a confirmar se um dispositivo foi construído com o Android TV OS e é certificado pelo Play Protect, nosso site do Android TV traz a lista mais atualizada de parceiros. Você também pode seguir estes passos para verificar se o seu dispositivo é certificado pelo Play Protect", disse um porta-voz do Google.
O FBI (polícia federal dos EUA) orientou em junho de 2025 que os donos avaliem os dispositivos conectados, desconectem os suspeitos, mantenham o firmware atualizado e tratem caixas de streaming genéricas vendidas com a promessa de conteúdo gratuito como suspeitas.
