Goedkope Android TV-boxen duiken steeds vaker op als oorzaak van digitale schade. In een recent onderzoek komt één type apparaat naar voren dat niet alleen advertenties klikbaar maakt, maar ook het internet van de eigenaar kan gebruiken als technische doorgang voor verkeer van anderen. Dat is precies de kern van de fraude met Android TV-boxen: het toestel lijnt zich in met advertentie-operators én gedraagt zich tegelijk als “proxy”.
De onderzoekers spreken over een operatie die ze Fuyao noemen. Daarbij wijzen ze op gewijzigde software die de hardware-identiteit van de box herschrijft om zich te laten herkennen als populaire smartphone-modellen. Daardoor kunnen operators gerichter ad-fraude automatiseren, terwijl ze de uitrol van taken koppelen aan wat de box ziet in de omgeving.
Hieronder zetten we de belangrijkste bevindingen op een rij, plus praktische acties om risico’s te beperken wanneer je zo’n streamingbox of TV-apparaat in huis gebruikt.
Wat doen deze TV-boxen precies?
Volgens het onderzoek zijn de getroffen Android TV-boxen uitgerust met apps die twee rollen vervullen. Ten eerste passen ze de “hardware identity” aan zodat het toestel zich voordoet als een telefoon van merken die in de praktijk vaak worden gebruikt als richtpunt voor advertentie- en trackingdoeleinden.
De onderzoekers noemen dat de apps de identiteit kunnen laten lijken op modellen van onder andere Samsung, Huawei, Xiaomi of Vivo. In de praktijk betekent dit dat rapportages over het apparaat doorgaans als “telefoon” worden beschreven in plaats van als TV-box.
Ten tweede blijkt er een advertentie-functie te zijn. De apps zorgen ervoor dat er op websites advertenties worden aangeklikt die worden gehost door dezelfde operators. Dat maakt het voor ad-netwerken en meetsystemen lastig om het verkeer als “onbetrouwbaar” te herkennen, omdat de device-signalen lijken te passen bij mobiele profielen.
Je internet kan worden ingezet als proxy
Het meest verontrustende deel zit in het moment waarop de TV-box actief wordt. De apps zouden namelijk, wanneer de box een HDMI-signaal detecteert, overschakelen naar een functie waarbij andere partijen via de internetverbinding van de eigenaar verkeer kunnen doorsturen.
In het onderzoek wordt dit beschreven als het relaying van iemands verkeer via de eigen verbinding, waarbij de box als SOCKS5 exit node fungeert. Met HDMI uit gaat het toestel terug naar een wachtstand, waarin het klaarligt voor fraudetaken.
Door die koppeling aan HDMI is het voor de operator mogelijk om fraude “aan” te zetten op momenten dat er in de praktijk een actieve setup draait (bijvoorbeeld wanneer je werkelijk streamt of een bron op je TV gebruikt). Voor de eigenaar betekent het: je netwerk kan onzichtbaar deelnemen aan activiteiten die je privacy en integriteit onder druk zetten.
Hoe vonden onderzoekers de operatie Fuyao?
De onderzoekers ontdekten de campagne door een verlopen domein te registreren dat eerder als “factory backdoor” en als telemetry-collector was gebruikt. Dat soort registraties geeft inzicht in welke toestellen contact maken met servercomponenten, welke taken er worden opgehaald en welke identifiers daarbij opduiken.
In de sinkhole-gegevens rapporteerden veel apparaten modelnamen die het vaakst terugkwamen als H96_MAX_V11. Tegelijk waarschuwen de onderzoekers dat het beeld vertekend kan zijn: sinkhole-registraties wijzen niet altijd op alle getroffen varianten. Het onderzoek claimt daarom niet dat er een volledige lijst is van alle aangetaste modellen of firmwarevarianten.
Over één dag rapporteerde de sinkhole bijna 66.000 meldingen uit ongeveer 38.000 unieke MAC-adressen. Belangrijk detail: de identifiers kunnen worden geroteerd, waardoor aantallen “unieke apparaten” niet één-op-één gelijkstaan aan een fysieke vlootomvang.
Van device-profielen tot ad-fraude: een geautomatiseerde keten
De operatie lijkt te leunen op een command-and-control (C2) mechanisme. Wanneer het toestel online is, kan het een volledig “telefoonprofiel” krijgen. Dat profiel combineert een basisconfiguratie met een per-model verschil (diff), terwijl gevoelige chipset-eigenschappen worden verwijderd die anders zouden verraden dat er eigenlijk een board van leveranciers zoals Rockchip, Amlogic of Allwinner onder de motorkap zit.
Daarnaast beschrijven de onderzoekers een geautomatiseerde manier om advertenties te vinden. In de workflow zou machine vision worden ingezet om advertentie-onderdelen op het scherm te lokaliseren. Zo wordt een object-detectiemodel gebruikt dat is getraind op een set van scherm-elementen, waaronder algemene bannerzones en specifieke advertentie-widgets.
Voor extra context worden toegankelijkheidsgegevens en optische tekenherkenning ingezet. De onderzoekers typeren dit als het samenvoegen van meerdere vision- en redeneercomponenten tot één werkbaar geheel binnen de app-automatisering.
Campagneroutines bouwen met een eigen editor
De fraudelogica lijkt niet “hardcoded” in elke individuele app. Volgens de onderzoekers wordt campagne-logica opgebouwd met een eigen editor die is gebaseerd op Blockly (een drag-and-drop programmeerframework van Google). Vervolgens exporteert men fraudetaken als JavaScript en levert men die routines aan de box voor uitvoering.
In testopstellingen rapporteerden onderzoekers dat ze tientallen fraudetaken, tientallen campagnes en honderden unieke modules konden onderscheiden. Ook is er een aanwijzing teruggevonden in een ontwikkelaarscomment: een template-systeem zou het mogelijk maken dat een kleine groep technische engineers minder technische campagnebouwers kan ondersteunen, zodat de operatie schaalbaar blijft.
Betaling en distributie via een publishing-netwerk
De verdienketen loopt volgens het onderzoek via een publishing network. De onderzoekers koppelen een groot aantal operator-gedreven domeinen aan clusters van begunstigden. Daarbij zou een deel van de domeinen een advertentietag laden op de homepagina.
Om domeinen te koppelen aan revenue-collectiebedrijven, verwijzen de onderzoekers naar publieke bestanden met informatie over verkopers van advertentieplatformen. Ook wordt er een voorbeeld van een advertentie-tag zoals Taboola genoemd.
Er worden daarnaast schattingen genoemd over opbrengsten, gebaseerd op aannames over activiteitsgraad en fraudeflagging. Die getallen zijn volgens de onderzoekers echter niet gelijk aan bewezen, feitelijk waargenomen inkomsten. De kern blijft: er is een route gevonden van malafide devicegedrag naar advertentie-ecosystemen.
Wie is verantwoordelijk? Toeschrijving blijft deels onzeker
De onderzoekers schrijven de operatie toe aan Zhejiang Fengwo IoT Technology Co., Ltd. Op basis van hun analyse noemen ze signalen zoals gedeelde TLS-certificate gegevens, blootgelegde wiki-bestanden, hergebruikte e-mailadressen en relevante patents.
Wat wel en niet hard is, blijft genuanceerd. Patentrecords die de onderzoekers hebben bekeken identificeren het bedrijf als “assignee” voor technologie rond uitvoering en monitoring van “digital human” modules. Tegelijk beschrijven die patenten volgens de onderzoekers geen reclamefunctionaliteit, en bewijzen ze niet dat het bedrijf daadwerkelijk de Fuyao-operatie uitvoerde of betrokken was bij ad-fraude.
Verder geldt: de onderzochte bronnen tonen niet met zekerheid wie de apps installeerde en op welk moment in de productieketen die wijziging in de software zou zijn terechtgekomen. Kortom: er is een sterke aanwijzing, maar geen volledige ketenbewijsvoering.
Wat kun je als eigenaar doen?
Voor consumenten en organisaties met dergelijke TV-boxen blijft het advies daarom vooral praktisch en risicogericht. De onderzoekers geven richtinggevende aanbevelingen, en ook overheidsinstanties adviseren vergelijkbaar beleid: beoordeel verbonden apparaten, verbreek verdachte toestellen, houd firmware up-to-date en wees alert op generieke streamingboxen die beloven “gratis content” te leveren zonder duidelijke herkomst.
1) Controleer of je apparaat gecertificeerd is
Een concreet punt is het checken of het apparaat en zijn softwareomgeving gecertificeerd zijn via Play Protect. Als je merkt dat het toestel apps installeert die niet bij jouw gebruik passen, behandel het dan als verdacht.
2) Koppel verdachte apparaten los
Wanneer je vermoedens hebt, verbreek de netwerkverbinding van de TV-box. Wacht niet op “meer bewijs”, omdat de schadelijke functies (proxying en ad-klikken) juist geautomatiseerd kunnen zijn.
3) Werk firmware en verander je netwerkverdeling
Installeer updates zodra die beschikbaar zijn, en overweeg om IoT- en streamingapparaten in een apart netwerksegment te plaatsen. Zo verklein je de kans dat een gecompromitteerd toestel later ook andere delen van je thuis- of bedrijfsnetwerk raakt.
Als je breder kijkt naar dit soort patronen—waar apparaten na inlog of verbinding alsnog kwaadaardige acties uitvoeren—kan het helpen om ook te lezen hoe een post-breach aanval doorgaans tot stand komt. Zie bijvoorbeeld Bron: https://thehackernews.com/2026/07/cheap-android-tv-boxes-pose-as-phones.html
