Un'azienda sfrutta AI e app per bambini per un impero da 40 milioni di dollari in frode pubblicitaria
Un'indagine di sicurezza su economici box TV Android ha portato alla scoperta di un'operazione di frode pubblicitaria, denominata Fuyao, rimasta nascosta per anni. Secondo Bitsight, questa rete utilizza app Android preinstallate, spoofing dell'identità del dispositivo, siti web generati con intelligenza artificiale e servizi proxy residenziali per generare ricavi pubblicitari senza il consenso degli utenti.
Un modello di business sofisticato
Il modello operativo di Fuyao si basa sulla capacità di identificare la posizione di un annuncio in un sito web, spoofare il dispositivo come uno smartphone per ottenere clic più remunerativi e mimare il comportamento umano per evitare di essere rilevati come bot. Gli operatori pubblicizzano una rete di oltre 120.000 dispositivi, commercializzati come "umani digitali AI".
Bitsight ha registrato telefmetrici provenienti da quasi 38.000 indirizzi MAC unici in 24 ore, anche se questo numero non riflette il numero effettivo di dispositivi infetti a causa della rotazione delle identità spoofate. Con un ricavo stimato di 1 a 1,25 dollari per dispositivo al giorno, l'operazione potrebbe generare fino a 40 milioni di dollari annuali, anche dopo aver tenuto conto dei clic e delle impressioni fraudolente rilevate dalle piattaforme pubblicitarie.
Un'operazione scoperta per caso
Il ricercatore Pedro Falé ha scoperto l'operazione mentre investigava su backdoor di gestione remota di fabbrica lasciate abilitate su box TV Android venduti ai consumatori. Durante l'indagine, ha notato che uno dei domini utilizzati dal backdoor era scaduto. Il team TRACE di Bitsight ha registrato il dominio e ha iniziato a ricevere telefmetrici da dispositivi che tentavano ancora di contattarlo.
Inizialmente, i ricercatori si aspettavano di ricevere telefmetrici dai box TV Android, ma invece il server ha ricevuto report da dispositivi che si identificavano come telefoni Xiaomi, Samsung, Huawei, Vivo e altri. Le informazioni hardware corrispondevano ai modelli dei telefoni, anche se alcuni dispositivi contenevano pacchetti software normalmente trovati sui box TV Android, inclusi launcher TV e app di impostazioni.
Confrontando le applicazioni installate, i ricercatori hanno identificato due app ricorrenti presenti sia sui profili dei telefoni che sui box TV, diventate il primo indizio di un'operazione più ampia.
La visione artificiale alimenta la frode pubblicitaria di Fuyao
L'Enterprise Fuyao consiste in più livelli di server di comando e controllo (C2), ciascuno con scopi diversi. Il sistema si basa su un set di indirizzi IP e porte hardcoded per il contatto iniziale e per stabilire connessioni WebSocket persistenti. Un livello è dedicato al contatto iniziale, un secondo allo spoofing e un terzo al mantenimento della connessione WebSocket persistente. Ci sono anche bucket S3 per la condivisione di configurazioni e file.
Una volta attivo, un box TV infetto da Fuyao può funzionare in una di due modalità. In modalità frode pubblicitaria, il dispositivo naviga sui siti web gestiti dagli attaccanti, molti dei quali riempiti con articoli generati con intelligenza artificiale su argomenti come finanza, salute e cibo. Le unità pubblicitarie su questi siti appaiono solo ai visitatori che sembrano dispositivi mobili, quindi i bot presentano proprietà di telefono spoofate per superare questo controllo prima di cliccare gli annunci.
Per trovare e interagire con gli annunci come farebbe una persona, le app combinano i servizi di accessibilità di Android con un modello di visione artificiale YOLO e il riconoscimento del testo OCR. Questo permette a un bot di localizzare un banner o un widget di raccomandazione di contenuti sullo schermo e cliccarlo, invece di fare affidamento solo su script che smettono di funzionare quando cambia il layout di un sito.
I ricercatori hanno identificato codice non utilizzato scritto per chiamare il modello GPT-4o di Azure per decidere dove cliccare e navigare successivamente, anche se non sembrava essere collegato alle app in esecuzione.
Le app cambiano comportamento a seconda che il box TV sia collegato a un display. Quando un cavo HDMI è collegato, il dispositivo tende a funzionare come un proxy SOCKS5 residenziale, inoltrando il traffico internet di terze parti attraverso la rete domestica del proprietario. Quando il cavo è scollegato, tende invece a eseguire compiti di frode pubblicitaria.
L'overlap con i dati dei proxy residenziali appariva in almeno uno su sei box TV in un giorno e uno su quattro in una settimana. Questo suggerisce che la banda larga delle reti domestiche infette viene venduta ai clienti proxy come un secondo flusso di ricavi.
Costruito con un tool di programmazione per bambini
Un dettaglio ha colpito particolarmente l'attenzione. Gli operatori costruiscono la loro logica di frode utilizzando Blockly, un linguaggio di programmazione visivo, a blocchi, che Google ha progettato per insegnare ai bambini le basi della codifica. Il personale assembla la logica della campagna trascinando i blocchi insieme in un editor personalizzato, quindi esporta il risultato come JavaScript e lo carica nello storage cloud per l'esecuzione sui box infetti.
Un commento lasciato da uno sviluppatore di Fuyao, tradotto da Bitsight, ha spiegato la motivazione. "Solo un piccolo numero di sviluppatori altamente qualificati è necessario per costruire le immagini delle unità di esecuzione del template; gli sviluppatori che creano le unità di esecuzione da quei template hanno requisiti tecnici significativamente inferiori (...) riducendo notevolmente i costi operativi dell'azienda".
Registrando dispositivi di prova sul botnet e registrando le spinte dei compiti inviati loro in due esecuzioni separate, Bitsight ha catturato circa 166 moduli di frode, suddivisi in gruppi che coprono il lancio del browser, la pulizia della cache e delle schede, la navigazione delle pagine, il rilevamento degli annunci, la telefmetria e la logica specifica per un sito web di destinazione.
Una nuova campagna contro un nuovo target aggiunge il proprio URL, tasso di clic e mix di browser, riutilizzando la maggior parte dei moduli sottostanti. Fuyao si discosta dal modus operandi tradizionale, a basso sforzo, della frode pubblicitaria. In effetti, un'intera azienda è stata creata e dedita esclusivamente alla costruzione di un prodotto che esegue questa attività fraudolenta.
L'impatto economico e le implicazioni della frode pubblicitaria Fuyao
La scoperta dell'operazione Fuyao ha portato alla luce un ecosistema criminale sofisticato che sfrutta le vulnerabilità dei dispositivi Android per generare milioni di dollari in entrate illegali. Secondo Bitsight, i ricercatori hanno collegato i conti dei publisher utilizzati per raccogliere i pagamenti pubblicitari a società di comodo registrate a Hong Kong e Singapore. Questi conti erano associati a piattaforme pubblicitarie come Google AdSense e Taboola, dimostrando come i criminali sfruttino le infrastrutture legittime per mascherare le loro attività illecite.
L'uso di proxy residenziali rappresenta un ulteriore flusso di ricavi per gli operatori di Fuyao. Vendendo la banda larga delle reti domestiche infette come proxy SOCKS5, i criminali non solo generano entrate aggiuntive, ma sfruttano anche la fiducia degli utenti nelle loro connessioni domestiche. Questo doppio utilizzo dei dispositivi infetti aumenta la complessità dell'operazione e rende più difficile la sua individuazione e smantellamento.
Le sfide della lotta alla frode pubblicitaria
La complessità e la sofisticazione dell'operazione Fuyao evidenziano le sfide che le piattaforme pubblicitarie e le autorità di regolamentazione devono affrontare per combattere la frode. L'uso di tecnologie avanzate come la visione artificiale e l'OCR permette ai bot di Fuyao di adattarsi rapidamente ai cambiamenti nei siti web, rendendo inefficaci i metodi tradizionali di rilevamento delle frodi.
Inoltre, l'impiego di strumenti di programmazione come Blockly per costruire la logica di frode dimostra come i criminali possano sfruttare tecnologie progettate per scopi educativi per scopi illeciti. Questo approccio abbassa la soglia di competenza tecnica necessaria per partecipare all'operazione, rendendola più accessibile e scalabile.
Le implicazioni per gli utenti e la privacy
Gli utenti che possiedono box TV Android infetti da Fuyao sono inconsapevoli del fatto che i loro dispositivi vengono utilizzati per attività illegali. La vendita della loro banda larga come proxy residenziale non solo genera ricavi per i criminali, ma espone anche gli utenti a potenziali rischi di sicurezza e violazioni della privacy. Il traffico internet inoltrato attraverso le reti domestiche potrebbe essere intercettato o manipolato, mettendo a rischio le informazioni personali degli utenti.
La scoperta di Fuyao sottolinea l'importanza di adottare misure di sicurezza proattive, come l'aggiornamento regolare dei dispositivi e l'uso di software antivirus, per proteggersi da tali minacce. Gli utenti dovrebbero anche essere consapevoli dei segni di un dispositivo compromesso, come un aumento inspiegabile dell'uso della banda larga o un comportamento anomalo del dispositivo.
Le prospettive future
La complessità e la scalabilità dell'operazione Fuyao suggeriscono che la frode pubblicitaria continuerà a evolversi, adottando tecnologie sempre più avanzate per eludere i sistemi di rilevamento. Le piattaforme pubblicitarie dovranno investire in soluzioni di intelligenza artificiale e machine learning per identificare e bloccare le attività fraudolente in tempo reale.
Le autorità di regolamentazione dovranno collaborare a livello internazionale per smantellare le reti criminali e perseguire i responsabili. La condivisione di informazioni e la cooperazione tra le diverse giurisdizioni saranno fondamentali per combattere efficacemente questo fenomeno.
l'operazione Fuyao rappresenta un esempio allarmante di come la tecnologia possa essere sfruttata per scopi illeciti. La sua scoperta sottolinea la necessità di un approccio proattivo e collaborativo per proteggere gli utenti e garantire l'integrità del mercato pubblicitario.
Nota Editoriale e Disclaimer
Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.
GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.
Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.
Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.