H96 Android TVボックスがひそかに大規模広告詐欺を実行

安価なストリーミング機器の知られざる正体

テレビに接続した安価なセットトップボックスが、画面の電源が切れた後も、持ち主の知らないうちに不正な収益を生み出し続けている可能性があります。Bitsightのセキュリティ研究者は最近、大規模な広告詐欺ネットワークの摘発に成功しました。この巧妙な手口は、H96 Android TVボックスをひそかに乗っ取り、Webトラフィックを偽装して広告クリックを捏造するというものです。

偶然の発見が暴いたグローバルボットネット

この巧妙な仕組みが解明されるきっかけとなったのは、ある偶然の出来事でした。サイバー脅威アナリストのPedro Fale氏が、これら感染済みセットトップボックスの指令サーバー(C2)として以前使われていた期限切れドメインを取得したところ、取得直後からこの新しいアドレス宛てに世界中の数万台もの端末から大量のテレメトリが送られてきたのです。これにより、詳細なハードウェア仕様やインストール済みアプリケーションの一覧が明らかになりました。

端末なりすましと標的型広告

驚くべきことに、感染したセットトップボックスのほぼすべてが、Samsung、Vivo、Huawei、Xiaomiなどのプレミアムスマートフォンであると偽って自己申告していました。この巧妙な端末なりすましにより、マルウェアはモバイルユーザー向けに特化した高単価な広告にアクセスできるようになり、正規の人間による操作であるかのような錯覚を綿密に作り出していました。さらに研究者は、Zhejiang Fengwo IoT Technology(通称Fengwo Group)が開発した2種類の異なるアプリケーションが、これらの端末にインストールされていることも突き止めました。

Fengwo Groupの自動化された詐欺エコシステム

Bitsightの包括的な分析によると、Fengwo Groupは金融、健康、教育、ゲーム、音楽、食品といった分野の自動生成コンテンツで構成された、広範なWebサイト群を積極的に運営していました。興味深いことに、正規の人間の訪問者がこれらのページで広告を目にすることは一切ありませんでした。不正広告が表示されるのは、そのWebサイトが、乗っ取られたH96 Android TVボックスから送信される、あらかじめ設定されたなりすましスマートフォンの特定プロファイルを検知した場合のみだったのです。

教育用ツールを悪用した悪質コードの生成

これらの不正なタスクを組み立てるため、開発者たちは、もともとGoogleが子供たちにコーディングの基礎を教えるために作成したビジュアルプログラミング環境「Blockly」を巧妙に転用していました。このインターフェースを利用することで、運営者は事前に用意されたビジュアルブロックを組み合わせるだけで、深いコーディングの専門知識を必要とせずに複雑な操作シナリオを容易に構築できました。保存すると、システムはこれらのビジュアルなワークフローをシームレスに実行可能なJavaScriptコードへと変換し、感染済みセットトップボックスへ直接展開していました。より詳しい技術的な内容については、Fuyaoがどのようにして、AIと子供向けコーディングブロックを使って広告詐欺帝国を築いたかについての解説をご覧ください。

人間の行動を模倣し検知を回避

タスクを受け取ると、感染した端末はひそかにバックグラウンドでブラウザを起動し、標的のWebサイトへアクセスして、タブをシームレスに切り替え、ページを自然にスクロールし、特定の広告バナーを操作していました。このマルウェアは、3種類の高度な画像認識・コンテンツ解析システムを利用していました。これらのシステムにより、プログラムは正確に広告ブロックの位置を特定し、本物の人間の行動を巧みに模倣する形でページを操作できるようになっており、標準的な不正検知の仕組みを回避していました。

二つの顔を持つマルウェア:プロキシと広告詐欺

これらの乗っ取られたセットトップボックスは、同時にではないものの、2つの異なる不正機能を実行していました。テレビがHDMI経由でコンテンツを表示している間、端末は通常、レジデンシャルプロキシノードとして動作し、持ち主の自宅ネットワーク接続を経由して第三者のインターネットトラフィックをひそかに中継していました。一方、テレビの電源が切られると、端末はシームレスに切り替わり、積極的な広告詐欺のルーチンを実行していました。この使い分けにより、システムへの負荷が最小限に抑えられ、ユーザーの動画ストリーミング体験を妨げないようになっていたとみられます。

金銭的な影響と、未認証端末がもたらす脅威

Bitsightは、Fengwo Groupの廃止済みドメインのうちの1つとだけ通信していた約38,000台の端末を積極的に追跡しました。控えめな試算に基づいても、この広告詐欺だけで1日あたり約50,000ドルを容易に生み出せる可能性があるといいます。重要なのは、この金額には、乗っ取ったレジデンシャルIPアドレスへのアクセスを貸し出すことで得られる相当な収益がまったく含まれていない点です。つまり、この詐欺活動の実際の金銭規模は、はるかに大きい可能性が高いのです。

こうした未認証のストリーミング端末は、セキュリティ専門家や米連邦捜査局(FBI)の間で以前から深刻な懸念を引き起こしてきました。これらの端末は、大幅に改変された非公式版のAndroid OSをあらかじめ搭載した状態で販売されることが多くあります。重要なセキュリティパッチが適用されることはめったになく、ユーザーのインターネット接続を貸し出すことを目的としたマルウェアが、あらかじめインストールされていることも珍しくありません。匿名の顧客は、このアクセス権を購入することで、大規模なデータスクレイピングやチケットの自動転売、深刻なサイバー攻撃の実行が可能になります。

企業側の否認と消費者保護

Fengwo Groupは公に、高度なAIを活用した「デジタルヒューマン」を12万体以上開発したと強気に主張しています。しかしBitsightは、この大げさなマーケティング用語は、感染した物理端末の広範なボットネットを覆い隠すための、単なる都合の良い口実にすぎないと強く疑っています。同社への公式コメント取得の試みはことごとく失敗に終わりました。同社の企業サイトに掲載されているアドレス宛てに送ったメールは、受信箱が常に満杯であるためすべて送信エラーとなって返ってきました。

セキュリティ専門家は消費者に対し、ストリーミング端末は信頼できるメーカーからのみ購入し、公式のAndroid TV認証を必ず確認したうえで、サードパーティ製アプリケーションのインストールには細心の注意を払うよう強く勧告しています。憂慮すべきことに、レジデンシャルプロキシ機能を備えた不審なプログラムは、テレビのセットトップボックスだけでなく、デジタルフォトフレームなど他の安価なスマートホーム機器にも組み込まれているケースが発見されています。