Avant d'acheter une clé de streaming TV, lisez ceci : les risques de fraude publicitaire et de proxy résidentiel

Imaginez brancher une clé de streaming TV à votre téléviseur pour profiter de contenus illimités sans abonnement, et découvrir que cet appareil transforme votre domicile en un maillon d’un réseau mondial de fraude publicitaire. C’est la réalité révélée par une analyse approfondie de Bitsight, qui a mis au jour un vaste système de fraude exploitant des boîtiers génériques. Selon les experts, ces clés de streaming TV bon marché cachent des logiciels malveillants et des proxys résidentiels qui mettent en péril votre sécurité numérique et celle de votre réseau. Dans cet article, nous allons décortiquer le fonctionnement de ce système, ses implications et les mesures à prendre pour vous protéger.

Les clés de streaming TV génériques : une fausse bonne affaire

Les clés de streaming TV génériques, souvent vendues à bas prix sur des plateformes comme Amazon ou Alibaba, promettent un accès illimité à des contenus en streaming sans abonnement. Leur attrait est indéniable, mais les risques sont considérables. Ces appareils fonctionnent généralement avec des versions non officielles d’Android, sans les mises à jour de sécurité de Google. Ils sont souvent livrés avec des applications préinstallées qui échappent à tout contrôle de qualité.

Le chercheur Pedro Falé, de la société Bitsight, a récemment mené une enquête approfondie sur un modèle populaire, le H96. En enregistrant un nom de domaine expiré utilisé pour la télémétrie, il a pu accéder à l’infrastructure de commande et de contrôle de ces appareils. Il a découvert que des dizaines de milliers de boîtiers H96 à travers le monde communiquaient avec ce domaine, envoyant des informations sur leur matériel et les applications installées.

« Nous avons remarqué que quelque chose clochait sérieusement : plusieurs appareils se faisaient passer pour des téléphones », a déclaré Pedro Falé à KrebsOnSecurity.

Cette constatation a été le point de départ d’une investigation qui a révélé un système complexe de fraude au clic impliquant des sites web générés par intelligence artificielle et des milliers de boîtiers compromis.

Comment fonctionne le réseau de fraude publicitaire ?

Le rôle de l’entreprise Fengwo Group

Au cœur de ce système se trouve Zhejiang Fengwo IoT Technology Co., Ltd, une entreprise chinoise qui opère sous le nom de Fengwo Group. Bitsight a découvert que les applications préinstallées sur les boîtiers H96 sont liées à cette société. Fengwo Group revendique la création de plus de 120 000 « humains numériques IA » destinés à diverses tâches, mais cette façade pourrait cacher son véritable rôle : orchestrer un vaste réseau de fraude publicitaire.

Les chercheurs ont identifié plusieurs identités juridiques écrans à Hong Kong et Singapour, utilisées pour collecter les revenus de la fraude. Ces revenus proviennent principalement des clics sur des publicités affichées sur des sites web générés automatiquement par l’IA. Les sites couvrent des sujets variés comme la finance, la santé, l’éducation et les jeux, mais ils ne diffusent des publicités que si l’appareil visiteur correspond au profil usurpé des boîtiers H96.

L’utilisation de Blockly pour créer des sites web frauduleux

Fengwo Group utilise un langage de programmation visuelle appelé Blockly, initialement conçu pour apprendre aux enfants à coder, pour créer ses sites web frauduleux. Ce procédé permet à des opérateurs peu qualifiés de construire des pages en assemblant des blocs de code sans comprendre les détails techniques. Les routines de fraude sont ensuite exportées vers des buckets S3 et déployées sur les boîtiers ciblés.

« Un opérateur peut assembler des blocs pour définir chaque routine de fraude, sans avoir besoin de comprendre les aspects techniques sous-jacents », explique le rapport de Bitsight. « Seul un petit nombre de développeurs hautement qualifiés est nécessaire pour construire les images d’unités d’exécution modèles, ce qui réduit considérablement les coûts de fonctionnement de l’entreprise. »

Cette approche permet de déployer rapidement des campagnes de fraude à grande échelle. Les boîtiers H96, sélectionnés pour une tâche spécifique, reçoivent le module Blockly approprié, qui peut inclure le lancement silencieux d’un navigateur, la visite de pages web, la gestion des onglets et le clic sur des publicités. Pour garantir que les boîtiers déguisés en téléphones mobiles puissent cliquer de manière fiable, le système fusionne trois systèmes de vision et de raisonnement, permettant aux bots d’identifier correctement une publicité sur la page et de naviguer sur le site comme un humain.

Les deux facettes du danger : proxy résidentiel et fraude publicitaire

Proxy résidentiel : votre connexion mise à disposition d’inconnus

Lorsque vous utilisez votre clé de streaming TV générique, elle peut fonctionner comme un proxy résidentiel. Cela signifie que votre adresse IP est louée à des tiers, qui peuvent l’utiliser pour des activités variées, allant du scraping de données à la fraude en ligne, voire à des cyberattaques. Ce service est souvent actif lorsque le téléviseur est allumé et que le boîtier diffuse du contenu.

Bitsight a observé que les boîtiers H96 basculent entre deux modes : proxy résidentiel quand la TV est allumée, et fraude publicitaire quand elle est éteinte. Cette dualité maximise l’exploitation de l’appareil au détriment de l’utilisateur. Ainsi, même lorsque vous profitez de votre série préférée, votre boîtier travaille en arrière-plan pour le compte de fraudeurs. Les utilisateurs de ces appareils constatent souvent une baisse de débit et une consommation de données anormale, sans comprendre pourquoi.

Fraude publicitaire : quand le boîtier se fait passer pour un smartphone

Le mode fraude publicitaire est encore plus inquiétant. Les boîtiers se font passer pour des téléphones mobiles de marques comme Samsung, Vivo, Huawei ou Xiaomi. Ils consultent des sites web générés par l’IA qui ne diffusent des publicités que si l’appareil visiteur correspond à ce profil usurpé. Les robots cliquent ensuite sur ces publicités, générant des revenus pour Fengwo Group.

Cette technique de spoofing est rendue possible par l’utilisation de trois systèmes de vision et de raisonnement fusionnés, permettant aux bots de naviguer et d’interagir avec les pages comme le ferait un humain. Les chercheurs de Bitsight ont également découvert que l’entreprise utilise un système de télémétrie pour collecter la liste complète des applications installées et les informations matérielles, ce qui permet de cibler les appareils les plus adaptés aux tâches de fraude. En pratique, cela signifie que votre boîtier est utilisé pour gonfler artificiellement le nombre de clics sur des publicités, ce qui coûte de l’argent aux annonceurs et fausse les statistiques.

L’ampleur du problème : chiffres et estimations

Selon Bitsight, environ 38 000 boîtiers H96 dans le monde ont été identifiés comme communiquant avec un domaine de Fengwo Group. Sur la base de ces données, l’entreprise estime que le réseau de fraude publicitaire génère près de 50 000 dollars par jour. Ce chiffre est conservateur, car il ne concerne qu’un seul domaine de l’infrastructure de Fengwo Group.

En parallèle, le service de suivi des proxys Synthient a documenté comment des botnets ont rapidement asservi des millions de boîtiers TV en exploitant des vulnérabilités combinées des logiciels proxy et des appareils eux-mêmes. Les autorités, comme le FBI, ont déjà émis des avertissements concernant ces risques. En France, l’ANSSI recommande de n’utiliser que des appareils certifiés et de maintenir à jour ses équipements. Selon Synthient, la liste des appareils IoT connus pour contenir des logiciels proxy inclut non seulement les boîtiers de streaming, mais aussi les cadres photo numériques, ce qui montre l’ampleur du phénomène.

Revenus estimés et nombre de dispositifs infectés

L’analyse de Bitsight suggère que les revenus de la fraude publicitaire pourraient être bien plus élevés si l’on considère l’ensemble des domaines utilisés par Fengwo Group. De plus, la vente de services de proxy résidentiel représente une source de revenus supplémentaire non négligeable. Les cybercriminels peuvent louer l’accès à ces adresses IP pour des opérations de blanchiment d’argent, d’achat de billets ou de contournement de géoblocage. Si l’on considère que Fengwo Group revendique 120 000 « humains numériques », cela pourrait être une façon de masquer l’ampleur réelle de son botnet, selon les chercheurs.

Exemple concret : un utilisateur français piégé

Prenons l’exemple d’un utilisateur français qui a acheté un boîtier H96 sur Amazon. En quelques jours, il a constaté une baisse de débit et des activités suspectes sur son réseau, comme des connexions sortantes vers des adresses IP inconnues. Après avoir suivi les conseils d’un expert en cybersécurité, il a découvert que son boîtier participait à un réseau de proxy résidentiel et de fraude publicitaire. Il a dû remplacer son appareil et sécuriser l’ensemble de son réseau domestique. Ce cas illustre bien les conséquences concrètes de l’utilisation de ces dispositifs.

Comment se protéger ?

Choisir des marques reconnues et certifiées

La première règle est d’éviter les clés de streaming TV génériques de marques inconnues. Privilégiez les appareils certifiés par Google avec Android TV OS et Play Protect. Ces garanties assurent que le système d’exploitation est officiel, mis à jour régulièrement, et que les applications préinstallées sont contrôlées.

Google fournit une procédure pour vérifier la certification d’un appareil : il suffit de suivre les instructions sur son site pour confirmer que le boîtier utilise Android TV officiel. Si vous possédez déjà un boîtier douteux, vérifiez s’il figure sur la liste des appareils à risque maintenue par Synthient. Cette liste est régulièrement mise à jour et inclut de nombreux modèles de boîtiers et d’autres objets connectés.

Bonnes pratiques de sécurité pour les objets connectés

• Mettre à jour régulièrement le firmware et les applications de votre boîtier.
• Désactiver les services inutiles et les applications préinstallées suspectes.
• Surveiller le trafic réseau de votre domicile à l’aide d’outils comme un pare-feu ou un système de détection d’intrusion.
• Utiliser un VPN pour masquer votre adresse IP, mais cela ne suffit pas si le boîtier est compromis.
• Éviter l’installation d’applications tierces non vérifiées.
• Changer régulièrement les mots de passe de votre réseau Wi-Fi et de vos comptes.

Tableau comparatif : boîtier officiel vs générique

Récapitulatif des signes d’alerte

• Appareil vendu à un prix très bas (moins de 30€)
• Marque inconnue ou générique
• Absence de logo Android TV officiel
• Présence d’applications étrangères préinstallées
• Ralentissement de la connexion internet
• Factures d’électricité anormalement élevées
• Messages d’erreur liés à des certificats de sécurité
• Activité réseau inhabituelle détectée par un pare-feu

Que faire si vous possédez déjà un boîtier compromis ?

Si vous pensez que votre clé de streaming TV est compromise, la première étape est de la déconnecter immédiatement de votre réseau. Ensuite, effectuez une analyse de sécurité de votre réseau domestique, changez vos mots de passe et surveillez les comptes sensibles. Il est fortement recommandé de remplacer l’appareil par un modèle certifié. Vous pouvez également signaler l’appareil aux autorités compétentes, comme la CNIL en France, si vous constatez un abus de données personnelles.

Conclusion : agir pour éviter les risques

En résumé, l’achat d’une clé de streaming TV générique peut sembler économique, mais les conséquences pour votre sécurité numérique et votre vie privée sont désastreuses. Les révélations de Bitsight sur le réseau de fraude de Fengwo Group montrent que ces appareils sont bien plus que de simples lecteurs multimédia : ils sont des outils d’exploitation à grande échelle. Les risques de proxy résidentiel et de fraude publicitaire sont réels, et ils touchent des millions d’utilisateurs dans le monde.

Pour protéger votre réseau domestique et vos données, investissez dans un appareil de marque reconnue, certifié Android TV, et suivez les bonnes pratiques de sécurité. La vigilance est de mise dans un monde où les objets connectés deviennent des vecteurs d’attaque. Avant de succomber à une offre alléchante, rappelez-vous que le coût réel d’une clé de streaming TV bon marché pourrait être bien plus élevé que prévu. Prenez le temps de vous informer, de vérifier les certifications et de choisir des produits qui respectent votre vie privée et votre sécurité.