TV box génériques H96 : les risques insoupçonnés de fraude publicitaire et de proxy résidentiel

Saviez-vous que votre clé de streaming à 30 euros pourrait générer jusqu’à 50 000 dollars par jour pour un réseau de fraude publicitaire ? C’est la conclusion stupéfiante de l’analyse menée par Bitsight, une société de cybersécurité spécialisée dans la gestion des risques, et relayée par le célèbre journaliste Brian Krebs. En prenant le contrôle d’un domaine de télémétrie abandonné, les chercheurs ont pu plonger au cœur d’un vaste réseau de fraude orchestré par le groupe chinois Fengwo. Les risques des TV boxes génériques, en particulier les modèles H96, T95 et MXQ, ne se limitent pas à un simple ralentissement de votre connexion. Ils englobent un système sophistiqué de proxy résidentiel et de fraude au clic qui exploite votre matériel et votre bande passante à votre insu. Cet article vous dévoile les coulisses de cette opération et vous fournit un guide complet pour vous protéger.

Le double visage des boîtiers H96 : proxy résidentiel et machine à clics

Les chercheurs de Bitsight ont mis au jour un fonctionnement en double mode particulièrement retors. Lorsque vous allumez votre téléviseur et utilisez le boîtier H96 pour regarder du streaming, l’appareil loue votre connexion Internet à des inconnus via un proxy résidentiel. Ce logiciel, préinstallé en usine, permet à des tiers de faire transiter leur trafic par votre adresse IP, rendant leurs activités anonymes et difficiles à tracer. Ces clients peuvent aller du scraping de données agressif à des activités cybercriminelles comme le ticket scalping ou la fraude aux paiements en ligne.

En revanche, lorsque le téléviseur est éteint et que le boîtier ne détecte plus de signal HDMI, il bascule en mode fraude publicitaire. Il se fait passer pour un smartphone (Samsung, Vivo, Huawei, Xiaomi) et visite des sites web générés par IA pour cliquer sur des publicités. « Nous avons remarqué que quelque chose clochait sérieusement », raconte Pedro Falé, chercheur chez Bitsight. « De multiples appareils déclarant être des téléviseurs Android étaient en réalité des “téléphones”. » Cette capacité à alterner entre deux modes d’exploitation démontre un niveau de sophistication technique rarement observé dans ce type de fraude. Bitsight a découvert que tous les appareils compromis partageaient les deux mêmes applications, développées par Zhejiang Fengwo IoT Technology Ltd. En enregistrant un nom de domaine expiré utilisé pour la télémétrie, Falé a pu observer le trafic de 38 000 boîtiers à travers le monde.

L’économie de la fraude : comment 50 000 dollars par jour sont générés

Bitsight estime que le réseau de fraude publicitaire génère près de 50 000 dollars par jour. Ce chiffre, bien que qualifié de « très conservateur » par les chercheurs, repose sur l’analyse de la télémétrie d’un seul domaine, le plus ancien du groupe Fengwo. En réalité, le réseau pourrait être bien plus vaste.

Le modèle économique repose sur le Cost Per Mille (CPM) et le Cost Per Click (CPC). Les sites web générés par IA, qui couvrent des thématiques aussi variées que la finance, la santé, l’éducation ou les jeux vidéo, attirent un trafic factice de la part des boîtiers H96. Ce trafic, qui se fait passer pour des utilisateurs mobiles légitimes, génère des revenus publicitaires pour le groupe Fengwo. « Les sites contiennent des articles et des graphiques générés par machine », explique le rapport Bitsight. « Mais aucune publicité ne s’affiche à moins que l’appareil visiteur ne corresponde au profil mobile spoofé de ces boîtiers H96. » Cela rend la détection de la fraude extrêmement difficile pour les régies publicitaires. Pour garantir que les clics soient crédibles, le groupe Fengwo a « fusionné trois systèmes de vision et de raisonnement en une seule interface », permettant aux bots d’identifier correctement une publicité sur la page et de naviguer sur le site comme le ferait un humain.

Fengwo Group : l’architecte chinois du réseau de fraude

L’enquête de Bitsight remonte jusqu’à une société chinoise, Zhejiang Fengwo IoT Technology Ltd, qui opère sous le nom de Fengwo Group. Cette entreprise a développé un écosystème complet de fraude. Bitsight a identifié plusieurs coquilles vides à Hong Kong et à Singapour utilisées pour collecter les revenus. Le groupe a également déposé plusieurs brevets qui correspondent exactement au fonctionnement interne des applications malveillantes trouvées sur les boîtiers H96.

Des « IA Digital Humans » pour masquer un botnet ?

Le site web du Fengwo Group se vante de posséder plus de 120 000 « IA digital humans » disponibles à la location. Bitsight émet l’hypothèse qu’il pourrait s’agir d’une façade marketing pour masquer l’ampleur réelle du botnet. « Historiquement, lorsqu’il s’agit de services proxy ou de DDoS, nous voyons parfois ces sites web utiliser des façades discrètes », analyse Falé dans le rapport Bitsight.

L’automatisation de la fraude grâce à Blockly

L’innovation du Fengwo Group réside dans l’utilisation de Blockly, un langage de programmation visuelle développé par Google pour apprendre le code aux enfants. Cette approche permet à des opérateurs peu qualifiés de créer des routines de fraude complexes sans écrire une ligne de code. « Seul un petit nombre de développeurs hautement qualifiés est nécessaire pour construire les images des unités d’exécution », explique Bitsight. Les modules sont ensuite exportés en JavaScript et téléchargés sur les boîtiers H96 via des buckets S3.

Encadré : Le langage Blockly au service de la fraude Le groupe Fengwo utilise une version modifiée de Blockly. « Un opérateur peut assembler des blocs dans l’éditeur Blockly pour définir chaque routine de fraude, étant donné un type de tâche », précise le rapport. « Une fois la routine sauvegardée, elle est exportée en JavaScript et téléchargée sur les buckets S3. » Cela réduit considérablement les coûts opérationnels de l’entreprise.

Les autorités mettent en garde : un danger pour votre sécurité et votre réputation

Le FBI met en garde depuis des années contre les boîtiers TV génériques. Dans un avis public, l’agence américaine prévient que ces appareils « peuvent être préconfigurés avec des logiciels malveillants et des capacités de proxy résidentiel ». En France, l’ANSSI recommande l’utilisation d’appareils certifiés et la mise à jour régulière des systèmes. Son guide de sélection des objets connectés insiste sur l’importance de vérifier la provenance et la certification des appareils avant de les connecter à son réseau.

Les risques des TV boxes génériques sont multiples et souvent sous-estimés.

1. Vol de bande passante : Votre connexion est utilisée sans votre consentement pour des activités souvent illicites.
2. Participation involontaire à un botnet : Votre appareil peut être utilisé pour des attaques DDoS ou de la fraude publicitaire.
3. Blacklistage de votre adresse IP : Si votre IP est utilisée pour des achats frauduleux, elle peut être bloquée par de nombreux services en ligne.
4. Absence totale de sécurité : Ces appareils ne reçoivent jamais de mises à jour de sécurité et sont vulnérables aux botnets. En janvier, le service de suivi des proxies Synthient a documenté comment plusieurs botnets avaient asservi des millions de boîtiers TV en exploitant les failles de sécurité du logiciel proxy et des appareils eux-mêmes.
5. Non-conformité RGPD : L’utilisation de vos données personnelles et de votre connexion se fait sans votre consentement explicite et éclairé.

L’impact sur les entreprises et les télétravailleurs

Avec la généralisation du télétravail, le risque lié à ces boîtiers dépasse le cadre domestique. Un boîtier compromis connecté au réseau de l’entreprise via le VPN peut exposer l’ensemble du système d’information de la société. « Nous avons observé des cas où des adresses IP professionnelles étaient blacklistées à cause d’un boîtier TV générique installé au domicile d’un employé », explique un expert en cybersécurité. Les directions des systèmes d’information (DSI) doivent intégrer ce risque dans leur politique de sécurité et sensibiliser leurs collaborateurs aux dangers des appareils IoT non certifiés.

Guide pratique : comment détecter et neutraliser la menace

Si vous possédez un boîtier H96 ou une clé de streaming générique, voici les signes qui doivent vous alerter et les mesures à prendre.

Les signes qui ne trompent pas

• Surchauffe anormale : Le boîtier chauffe de manière excessive, même lorsqu’il est en veille. Cela indique que le processeur travaille en continu pour exécuter les tâches de fraude.
• Ralentissements inexpliqués : Votre connexion Internet est anormalement lente, surtout lorsque la télévision est éteinte. Le trafic de proxy ou de fraude publicitaire consomme une large part de votre bande passante.
• Applications inconnues : Des applications que vous n’avez pas installées apparaissent dans la liste des applications. Les applications malveillantes sont souvent préinstallées ou mises à jour silencieusement.
• Trafic sortant suspect : Votre routeur indique un volume de données important même lorsque vous n’utilisez pas le boîtier.

Les marques à éviter et les alternatives fiables

Le tableau ci-dessous compare les boîtiers génériques aux appareils officiels et certifiés.

Les gestes qui sauvent votre réseau

1. Auditez votre réseau. Utilisez un outil comme Wireshark ou Fing pour identifier tous les appareils connectés et détecter un trafic anormal.
2. Isolez vos appareils IoT. Créez un réseau invité ou un VLAN dédié sur votre routeur pour les boîtiers suspects. Cela empêchera un appareil compromis d’accéder à vos autres équipements et limitera la propagation d’une éventuelle infection.
3. Vérifiez la certification. Rendez-vous dans Paramètres > À propos > Certification sur votre appareil Android TV. S’il n’est pas certifié, il est très probablement compromis. Google fournit des instructions détaillées pour vérifier cette certification.
4. Remplacez l’appareil. Investissez dans un appareil officiel et certifié. L’économie réalisée à l’achat ne vaut pas le risque encouru pour votre sécurité numérique et la réputation de votre adresse IP.
5. Surveillez votre trafic. Installez un Pi-hole pour bloquer les requêtes DNS vers des domaines malveillants identifiés par Bitsight, comme fwgcloud[.]com. Synthient maintient également une liste à jour des appareils IoT connus pour embarquer des logiciels de proxy résidentiel.
6. Sensibilisez votre entourage. De nombreux utilisateurs ignorent les risques. Expliquez à vos proches pourquoi il est dangereux d’acheter une clé de streaming générique sur les places de marché en ligne.

Exemple concret : Un utilisateur français a récemment constaté que son adresse IP était bloquée par un grand site e-commerce. Après investigation, il s’est avéré que son boîtier H96, acheté sur Amazon pour 35 euros, était utilisé pour du scraping de données. Son adresse IP était devenue indésirable. Il a dû contacter son fournisseur d’accès pour changer d’adresse IP, une procédure longue et complexe.

Conclusion : la fausse bonne affaire des boîtiers TV non certifiés

L’analyse de Bitsight est un électrochoc pour le monde de la cybersécurité. Les risques des TV boxes génériques ne sont plus une simple théorie : ils sont une réalité massive, organisée et incroyablement lucrative pour les fraudeurs. En achetant un boîtier H96, vous ne faites pas une économie, vous exposez votre réseau domestique et participez involontairement à un réseau de fraude mondial qui génère 50 000 dollars par jour.

La prochaine fois que vous serez tenté par une offre alléchante pour une clé de streaming « magique » ou un boîtier Android à bas prix, souvenez-vous des 38 000 appareils qui se font passer pour des smartphones et cliquent sur des publicités sur des sites générés par IA. Votre sécurité numérique et la réputation de votre adresse IP n’ont pas de prix. Privilégiez les marques officielles, respectez les recommandations de l’ANSSI et vérifiez la certification Play Protect de vos appareils. C’est le seul moyen de profiter sereinement de vos contenus en streaming sans mettre en péril votre sécurité et celle de votre réseau.