そのTVストリーミングスティック、購入前にご一読を

セキュリティ専門家たちは長年、定額で無制限のストリーミング視聴をうたう汎用TVボックスのリスクについて警鐘を鳴らしてきました。こうした機器がユーザーのインターネット回線を密かに他人へ貸し出しているという指摘です。しかし今回発表された画期的な新たな分析によれば、これらの機器はさらに、AI生成のウェブサイト上で広告をクリックするモバイル端末になりすます動作も日常的に行っており、オンライン加盟店や広告ネットワークを欺く大規模な不正行為の一端を担っていることが判明しました。

ペドロ・ファレ(Pedro Falé)氏は、セキュリティ企業Bitsight TRACEの脅威リサーチャーです。ファレ氏はKrebsOnSecurityに対し、期限切れとなったドメイン名を取得したことで、H96という特に人気の高いストリーミング機器ブランドを対象にした偽の広告クリックを統制する、巨大かつ複雑な広告詐欺ネットワークの内部を覗き見ることができたと語りました。

ファレ氏によると、彼が取得したドメインはもともとテレメトリ用途で使われており、世界各地のテレビに接続された数万台規模のH96ストリーミングスティックから、ハードウェア情報一式とインストール済みアプリの全リストを定期的に収集していました。ところが、このドメインに送られてくるトラフィックを調べたところ、ほぼすべてのTVボックスがSamsung、Vivo、Huawei、Xiaomiなど各社のモバイル端末機種であるかのようなデータを送信していたことが判明しました。

「何かが根本的におかしいと気づきました」とファレ氏は述べています。「この工場出荷時Android TVボックスのバックドアに接続してくる複数の機器が、実際には『スマートフォン』を名乗っていたのです」

ファレ氏は、これらの機器がすべて同一の2つのアプリをインストールしていることを突き止めました。そのアプリはZhejiang Fengwo IoT Technology Ltdという企業によって作られたもので、これは2019年に中国本土で設立され、Fengwo Groupという名称の下で広告配信ポートフォリオを運営する組織です。Fengwo Groupについてさらに調査を進めたところ、これらのアプリの内部動作と一致する複数の特許を同社が登録していることが明らかになりました。

「Bitsight TRACEは、収益化の受け皿として使われている香港、シンガポール、そして個人名義の『法人』ペーパーカンパニーをいくつか特定し、その先にある中国本土の企業、Zhejiang Fengwo IoT Technology Co., Ltd(Fengwo Groupとして活動)まで追跡することができました」と、ファレ氏は本日公開された調査結果の報告書に記しています。

ファレ氏によると、これらのアプリを分析した結果、H96機器を捕らわれのトラフィック源として利用し、Fengwo Groupが運営するAI生成ウェブサイト上の広告をクリックさせる広告詐欺ネットワークを統制する仕組みが明らかになりました。

Bitsightの調査では、これらのウェブサイトには金融、健康、教育、ゲーム、音楽、グルメといった幅広いジャンルにわたる機械生成のニュース記事や画像が掲載されていることが確認されました。しかし同時に、これらのサイトはいずれも、閲覧している機器がH96機器のなりすましたモバイル端末プロファイルと一致しない限り、広告を一切表示しないことも判明しました。

AIデジタルヒューマン

Fengwo Groupのドメイン(fwgcloud[.]com)は、自社が「人間とAIの相互作用の境界線を再定義している」と謳っており、感情的なコンパニオンシップから24時間対応のカスタマーサービス、クリエイティブデザインに至るまで、あらゆる用途にレンタル可能な12万体以上の「AIデジタルヒューマン」を生み出したと主張しています。

ファレ氏によると、Fengwo GroupのドメインはSSL証明書データを、H96機器上で見つかった各種アプリ、特に電話番号なりすましの仕組みに関連する他のドメインと共有していました。さらに氏は、このドメインには内部Wikiプラットフォームも存在し、そこからFengwo Groupが、もともと子供にプログラミングの書き方を教えるために設計されたGoogle製のビジュアルプログラミング言語Blocklyの独自実装に直接関与していることが確認できたと指摘しています。

Bitsightによれば、Fengwo Groupの従業員はこのBlocklyを使って偽ウェブサイトを構築しており、スキルの低い作業者でもBlocklyエディタ上でコードブロックをドラッグして組み合わせるだけで作業ができる仕組みになっています。背後にあるコードブロックが何をしているのか、どのように動作するのかを理解する必要は一切ありません。

「作業者はBlocklyエディタ上でブロックをドラッグして組み合わせることで、タスクの種類に応じた不正処理ルーチンを定義できます」とBitsightの報告書には記されています。「ルーチンが保存されると、JavaScriptとしてエクスポートされ、S3バケットにアップロードされます。作業者は背後にある技術的な詳細をほとんど理解する必要がなく、すべてが使いやすいようにあらかじめ整えられています」

Bitsightは、Fengwo Groupのアプリ開発者の一人がまさにこうした利点について言及しているのを発見しました。その開発者は、「テンプレートとなる実行ユニットのイメージを構築するには、ごく少数の高スキルな開発者だけで足りる」とし、「そのテンプレートから実行ユニットを作成する開発者に求められる技術的要件は大幅に低く、会社の運用コストを大きく削減できる」と述べていました。

ファレ氏によると、あるユーザーのH96ストリーミングスティックが特定の不正タスクに選ばれると、そのタスク内容に応じたBlocklyモジュールが送り込まれます。これには、ウェブブラウザをひそかに起動する、ウェブサイトを訪問する、ページを閲覧する、タブを管理する、広告をクリックするといった動作が含まれます。

モバイル端末になりすましたTVボックスがAI生成ウェブサイト上の広告を確実にクリックできるようにするため、Fengwo Groupは「3つの視覚・推論システムを単一のインターフェースに融合させている」とBitsightの報告書は指摘しています。これにより、ボットはウェブページ上の広告を正確に識別し、人間さながらにサイトを操作できるようになっています。

テレビが点いている時はプロキシ、消えている時は広告詐欺

Bitsightの調査では、H96機器は住宅用プロキシのトラフィックを中継しているか、広告詐欺に加担しているかのいずれかであり、両方を同時に行うことは決してないことが判明しました。実際、これらのTVボックスは接続されたテレビからHDMI信号を検知すると――つまりユーザーが動画視聴を意図していることを示すサインを受け取ると――住宅用プロキシとして機能することが多いという結論に至っています。テレビの電源が切られると、機器は再び広告詐欺タスクの待機状態に切り替わります。

ファレ氏は、こうした仕組みになっている理由について、広告詐欺の活動はリソース消費がはるかに大きく、機器本来の目的であるインターネット経由の動画ストリーミングに支障をきたしかねないためだと考えていると述べています。

これらのストリーミング機器が抱えるセキュリティ・プライバシー上のリスクについて、FBIおよびセキュリティ業界のリーダーたちが繰り返し警告を発してきたにもかかわらず、Amazon、Best Buy、Neweggといった大手ECサイトは、非公式版のGoogle製Androidオペレーティングシステムをバンドルした数百種類ものモデル・ブランドの機器を今も販売し続けています。これらは(オンラインインフルエンサーを通じて)、契約なしで幅広いストリーミングサービスやライブ放送にアクセスできる手段として頻繁に宣伝されています。

これらのノーブランド系ストリーミング機器は、ユーザーのTVボックスを広告詐欺ネットワークに加担させるだけでなく、ほぼ例外なく住宅用プロキシソフトウェアがあらかじめインストールされています。このソフトウェアは、ユーザーのインターネットアドレスを匿名の有料顧客に貸し出す仕組みで、その顧客層は悪質なコンテンツスクレイピング業者からチケット転売業者、さらには正真正銘のサイバー犯罪者まで多岐にわたります。

さらに、こうした汎用(かつ概して非常に安価な)TVボックスは、デフォルトの状態で軒並みセキュリティが著しく脆弱で、認証機能すら備えていません。そのため、自宅やオフィスのネットワークにこれを導入することは、新たなトラブルを招く結果にしかなりません。1月には、プロキシ追跡サービスのSynthientが、住宅用プロキシソフトウェアとストリーミング機器自体の両方に存在する複数のセキュリティ脆弱性を組み合わせることで、複数のボットネットが数百万台のTVボックスを短期間で乗っ取っていた実態を報告書にまとめています。

金の流れを追う

Bitsightによると、期限切れとなったFengwo Groupのドメインに世界中から約38,000台のTVボックスが接続していたことを確認しており、この数字をもとに同社の報告書は、この広告詐欺ネットワークが1日あたり約50,000ドル近い収益を生み出していると推計しています(住宅用プロキシ事業側からの相当な収益は含めていません)。ただしファレ氏は、この推計は非常に控えめなものであり、Fengwo Groupが保有する中核ドメインの、しかも古いものの1つから得られたテレメトリのみに基づいていると強調しています。

Fengwo Groupが12万体の「デジタルヒューマン」を自由に使えると主張している点について、Bitsightの報告書は、単なる巧妙なマーケティング戦略か、あるいは自社の活動に疑念を持たれないための隠れ蓑にすぎない可能性があると結論づけています。

「これまでの経験上、プロキシサービスやDDoSに関連する事案を扱っていると、こうしたウェブサイトが、自社のDDoS能力やボットネットの規模を宣伝しないよう、あえて目立たない見せかけの姿を装っているケースがしばしば見受けられます」とファレ氏は報告書に記しています。「今回のケースも同様の可能性があります」

Fengwo Groupが本当に数万体もの「AIヒューマン」を自在に使えるのだとしても、その中の一体すら自社ウェブサイトへの問い合わせ対応に充てていないようです。KrebsOnSecurityは、Fengwo Groupのホームページに記載された連絡先アドレス宛にメールを送り、コメントを求めましたが、「Your message couldn’t be delivered to postmaster@fwgcloud[.]com. Their inbox is full, or it’s getting too much mail right now.」という返信とともにメールが差し戻されました。

Bitsightの分析が示す通り、TVボックスやストリーミングスティックを選ぶ際は、信頼できるメーカーの有名ブランド製品にとどめ、機器にインストールするアプリについても慎重かつ最小限にとどめるのが賢明です。それらのアプリの多くにも住宅用プロキシソフトウェアがバンドルされている可能性があるためです。Googleによれば、消費者はこちらの手順に従うことで、ある機器が公式のAndroid TV OSおよびPlay Protect認証を受けて構築されたものかどうかを確認できます。

さらにSynthientは、住宅用プロキシソフトウェアやその他の悪質なアプリがあらかじめインストールされた状態で消費者に出荷されていることが判明しているIoT機器の一覧を随時更新しながら公開しています。注意深い読者であれば、Synthientの一覧にはストリーミングスティックやボックス以外のIoT機器も含まれていることに気づくでしょう。FBIが警告している通り、住宅用プロキシソフトウェアは、様々な無名ブランドが手掛ける他の人気消費者向けIoT機器、とりわけデジタルフォトフレームでも発見されています。