安価なAndroid TVボックスを対象としたセキュリティ調査から、研究者らは数年間発覚を免れてきた広告詐欺オペレーションを突き止めました。
Fuyaoアプリのエコシステム（出典: Bitsight）
Bitsightによると、「Fuyao」と名付けられたこのオペレーションは、あらかじめインストールされたAndroidアプリ、デバイスのなりすまし、AI生成のウェブサイト、レジデンシャルプロキシサービスを組み合わせ、端末所有者に知られることなく広告収益を生み出しています。
「Fuyaoのビジネスモデルは、ウェブサイト上の広告の場所を常に特定できる能力の上に成り立っています。デバイスをスマートフォンとして偽装することでより単価の高いクリックを獲得して収益を増やし、人間の行動を模倣することでボットとしてフラグを立てられるのを回避しているのです」とBitsightは説明しています。
運営者側は12万台を超えるデバイスからなるネットワークを、「AIデジタルヒューマン」として公然と宣伝しています。Bitsightのシンクホールで収集されたテレメトリでは、24時間で約38,000件のユニークなMACアドレスが記録されました。ただし研究者らは、なりすましIDがローテーションする可能性があるため、この数字が感染デバイス数をそのまま示すものではないと注意を促しています。
1台あたり1日1〜1.25ドルという推定収益をもとに、Bitsightはこのオペレーションが、広告プラットフォームによって検知される不正クリックやインプレッションを差し引いたとしても、年間最大4,000万ドルの収益を生み出せると試算しています。
研究者らは、広告収益の受け取りに使われていたパブリッシャーアカウントを、香港およびシンガポールに登録されたペーパーカンパニーと関連付けました。これらのアカウントはGoogle AdSenseおよびTaboolaに紐付けられていたということです。
偶然の発見
研究者のPedro Falé氏は、消費者向けに販売されたAndroid TVボックスに工場出荷時点で有効化されたリモート管理用バックドアを調査している最中に、このオペレーションを発見しました。
調査の過程で、同氏はバックドアが使用していたドメインの一つが失効していることに気付きました。BitsightのTRACEチームはこのドメインを取得し、依然として接続を試みてくるデバイスからテレメトリを受信し始めました。バックドアがファームウェアの一部として組み込まれていたことから、研究者らはこのテレメトリがAndroid TVボックスから送られてくるものと予想していました。
ところが実際には、サーバーはXiaomi、Samsung、Huawei、Vivoなど、Androidスマートフォンを名乗るデバイスからの報告を受信していました。ハードウェア情報はスマートフォンのモデルと一致していたものの、一部のデバイスにはTVランチャーや設定アプリなど、通常Android TVボックスに見られるソフトウェアパッケージが含まれていました。
インストールされているアプリケーションを比較したところ、スマートフォンのプロファイルとTVボックスの両方に共通して現れる2つのアプリが判明しました。これらのアプリが、これらのデバイスがより大規模なオペレーションに結びついているという最初の手がかりとなりました。
コンピュータビジョンがFuyaoの広告詐欺を支える
「Fuyaoエンタープライズは複数階層のC2から構成されており、それぞれが異なる役割を担っています。このシステムは初期接続と永続的なWebSocket接続の確立のために、ハードコードされたIPアドレスとポートのセットに依存しています」とBitsightは述べています。
「ある階層は初期接続専用、別の階層はなりすまし専用、そして三つ目の階層が永続的なWebSocket接続を維持します。設定ファイルやファイルを共有するためのS3バケットも存在します」と同社は付け加えています。
起動すると、Fuyaoに感染したTVボックスは2つのモードのいずれかで動作できます。広告詐欺モードでは、攻撃者が運営するウェブサイトを閲覧します。これらのサイトの大半には、金融・健康・食に関するトピックを扱うAI生成記事が並んでいます。
これらのサイト上の広告ユニットは、モバイル端末に見えるアクセス者にしか表示されません。そのためボットは、このチェックを通過して広告をクリックするために、偽装したスマートフォンの端末情報を提示します。
人間のように広告を見つけて操作するため、これらのアプリはAndroidのアクセシビリティサービスと、YOLOのコンピュータビジョンモデルおよびOCR文字認識を組み合わせています。これにより、ボットは画面上のバナーやコンテンツ推薦ウィジェットの位置を特定してクリックできるようになり、サイトのレイアウトが変わると機能しなくなるスクリプトのみに頼る必要がなくなります。
研究者らは、次にどこをクリックし、どこへ移動するかを判断するためにAzureのGPT-4oモデルを呼び出すよう書かれた、未使用のコードを発見しました。ただし、これが実際に稼働中のアプリと連動しているようには見えなかったとしています。
研究者らによると、これらのアプリはTVボックスがディスプレイに接続されているかどうかによって挙動を切り替えます。HDMIケーブルが接続されている場合、デバイスはレジデンシャルSOCKS5プロキシとして動作し、所有者の自宅ネットワークを経由してサードパーティのインターネットトラフィックを転送する傾向があります。ケーブルが外されている場合は、代わりに広告詐欺タスクを実行する傾向があります。
レジデンシャルプロキシのデータとの重複は、1日あたりでは6台のTVボックスのうち少なくとも1台、1週間あたりでは4台のうち1台の割合で確認されました。これは、感染した家庭内ネットワークの帯域幅が、第二の収益源としてプロキシ利用者に販売されていることを示唆しています。
子ども向けコーディングツールで構築
ある一点が際立っていました。運営者らは、Googleが子どもにプログラミングの基礎を教えるために設計したビジュアルなドラッグ・アンド・ドロップ型プログラミング言語「Blockly」を使って、詐欺のロジックを構築していたのです。スタッフは独自開発のエディタ上でブロックをドラッグして組み合わせることでキャンペーンロジックを組み立て、その結果をJavaScriptとして書き出してクラウドストレージにアップロードし、感染したボックスに実行させています。
Blockly詐欺モジュールのイメージ（出典: Bitsight）
Fuyaoの開発者の一人が残したコメントを、Bitsightが翻訳して紹介しています。そこにはその理由が説明されていました。
「テンプレートとなる実行ユニットのイメージを構築するには、高いスキルを持つ少数の開発者だけがいれば十分です。そのテンプレートから実行ユニットを作成する開発者に求められる技術要件ははるかに低く済み……会社の運営コストを大幅に削減できます」
Bitsightはこのボットネットにテスト用デバイスを登録し、2回にわたる別々の実行でデバイスに送られてくるタスクを記録することで、約166個の詐欺モジュールを捕捉しました。これらはブラウザ起動、キャッシュ・タブのクリーンアップ、ページナビゲーション、広告検知、テレメトリ、そして標的となる特定サイト向けのロジックといったグループに分かれています。
新たな標的に対する新しいキャンペーンでは、独自のURL、クリック率、ブラウザの組み合わせが追加される一方、基盤となるモジュールの大部分はそのまま再利用されます。
「Fuyaoは、従来の低コストな広告詐欺の手口から一線を画しています。実際、この不正行為を実行する製品を構築することだけを目的とした企業が、丸ごと一社設立されていたのです」と研究者らは結論付けています。
翻訳元: https://www.helpnetsecurity.com/2026/07/31/fuyao-ad-fraud-botnet-android-tv-boxes/
