购买电视流媒体棒前请先阅读

# 购买电视流媒体设备前请先阅读此文 来源：https://krebsonsecurity.com/2026/07/read-this-before-you-buy-that-tv-streaming-stick/ 多年来，安全专家一直在警告使用那些承诺一次性付费即可无限流媒体播放的通用电视盒子的风险，提醒用户这些设备会秘密地将用户的互联网连接出租给陌生人。但一项突破性的新分析发现，这些设备还经常伪装成手机，在AI生成的网站上点击广告，这是一个旨在欺诈在线商家和广告网络的庞大诈骗行动的一部分。 **Pedro Falé** 是安全公司 **Bitsight** 的一名威胁研究员。Falé 告诉 KrebsOnSecurity，他通过注册一个过期域名得以窥探一个庞大而复杂的广告欺诈网络内部，该域名曾用于协调一个特别流行的流媒体设备品牌 **H96** 上的虚假广告点击。 一款目前在亚马逊上销售的 H96 电视流媒体设备广告图。 Falé 表示，他抢注的这个域名之前被用于遥测，会定期从全球各地连接到电视机的数万个 H96 流媒体设备上收集完整的硬件信息和已安装应用的完整列表。但在检查流向该域名的流量时，他发现几乎所有传输数据的电视盒子都声称自己是来自不同制造商的手机型号，包括 Samsung、Vivo、Huawei 和 Xiaomi。 “我们注意到有些地方非常不对劲，” Falé 说。“多个向这个工厂 Android TV 盒子后门报告的设备都是‘手机’。” 图片：Bitsight。 这位研究人员发现，所有设备都报告安装了相同的两个应用，并且这些应用是由一家名为 **浙江锋沃物联网科技有限公司** 的公司开发的。该公司成立于2019年，位于中国大陆，以 **Fengwo Group** 的名义运营着一个广告发布平台。对 Fengwo Group 的进一步调查显示，该公司注册了多项专利，这些专利与上述应用的内部工作原理相符。 “Bitsight TRACE 识别出了几个位于香港、新加坡的壳公司身份以及一个‘个人’法律实体，这些实体被用来收集变现收益，并将整个操作追溯到了一家名为浙江锋沃物联网科技有限公司的中国大陆公司，该公司以 Fengwo Group 的名义运营，” Falé在今日发布的一份关于其发现的报告中写道 (https://www.bitsight.com/blog/fuyao-enterprise-building-ad-fraud-empire-ai-and-kids-coding-blocks)。 Falé 表示，对这些应用的分析显示，它们帮助协调了一个广告欺诈网络，该网络利用这些 H96 设备作为受控流量来源，点击由 Fengwo Group 运营的 AI 生成网站上的广告。 Bitsight 发现，这些网站包含机器生成的新闻文章和图形，涵盖金融、健康、教育、游戏、音乐和美食博客等多个类别。但他们还发现，除非访问页面的设备与这些 H96 设备伪装成的移动设备资料相匹配，否则这些网站根本不会显示广告。 ## AI 数字人 Fengwo Group 的域名 — fwgcloud\[\.\]com — 声称该公司正在“重新定义人机交互的边界”，并且已经创建了超过 120,000 个“AI 数字人”，可用于从情感陪伴到全天候客户服务和创意设计等各种服务。 fwgcloud dot com 的主页。 Falé 说，Fengwo Group 的域名与在 H96 设备上发现的与应用相关的其他域名共享其 SSL 证书数据，特别是手机伪装机制。他指出，该域名还有一个内部维基平台，该平台直接将 Fengwo Group 与 Google 构建的可视化编程语言 **Blockly** 的专有实现联系起来，而 Blockly 最初是为了帮助孩子们学习编写软件而设计的。 根据 Bitsight 的说法，Fengwo Group 的员工使用 Blockly 来构建这些虚假网站，这使得低技能的操作员可以在 Blockly 编辑器中拖拽代码块，而无需理解底层代码块的功能或工作原理。 Blockly 主页。 “操作员可以在他们的 Blockly 编辑器中拖拽代码块，根据任务类型定义每个欺诈例程，” Bitsight 的报告写道。“一旦例程保存，它就会被导出为 JavaScript 并上传到 S3 存储桶。操作员不需要太了解底层技术细节，因为一切都已经设置好，便于使用。” Bitsight 甚至发现一位 Fengwo Group 的应用开发者明确提到了这些优势，并指出只需要“少数高技能的开发者来构建模板执行单元镜像”，而“使用这些模板创建执行单元的开发者技术要求显著降低，极大地降低了公司的运营成本。” Falé 表示，如果用户的 H96 流媒体设备被选中执行特定的欺诈任务，系统将根据所需任务推送相应的 Blockly 模块，这些任务可能包括静默启动网络浏览器、访问网站、浏览页面、管理标签页以及点击广告。 为了确保这些伪装成手机的电视盒子能够可靠地点击通过 AI 生成网站显示的广告，Fengwo Group 将“三个视觉和推理系统融合到一个单一界面中”，使得这些机器人能够正确识别网页上的广告并像人类一样浏览网站，Bitsight 的报告指出。 与 Fengwo Group 相关的广告落地页示例。图片：Bitsight。 ## 电视开着？充当代理。电视关着？进行广告欺诈 Bitsight 发现，H96 设备要么在转发住宅代理流量，要么在参与广告欺诈，但绝不会同时进行。事实上，他们得出结论，当这些电视盒子检测到来自连接电视的 HDMI 信号时（表明用户打算流媒体播放视频内容），它通常作为住宅代理运行。当电视关闭时，它会切换回等待广告欺诈任务的状态。 Falé 表示，他认为电视盒子这样设置是因为其广告欺诈活动资源消耗更大，可能会干扰设备的主要用途——通过互联网流媒体播放视频内容。 尽管 FBI (https://www.fbi.gov/investigate/cyber/alerts/2025/home-internet-connected-devices-facilitate-criminal-activity) 和安全行业领袖多次警告使用这些流媒体设备带来的安全与隐私风险，但诸如 Amazon、Best Buy、Newegg 等主要电子商务供应商仍在销售数百种不同型号和品牌的设备，这些设备捆绑了非官方的 Google Android 操作系统版本，并且经常（通过在线网红 (https://krebsonsecurity.com/2025/11/is-your-android-tv-streaming-box-part-of-a-botnet/)）被宣传为无需订阅即可访问大量流媒体服务和直播的一种方式。 图片：fbi\.gov。 除了将用户的电视盒子卷入广告欺诈网络外，这些非品牌流媒体设备几乎普遍预装了 **住宅代理** 软件。该软件将用户的互联网地址出租给匿名的付费客户，这些客户涵盖了从激进的网页抓取公司到票贩子和彻头彻尾的网络犯罪分子。 此外，由于这些通用（而且通常非常便宜）的电视盒子默认安全防护极差，并且完全没有身份验证，将其安装在家中或办公室网络上只会招致更多的恶意行为。今年一月，代理追踪服务 **Synthient** 记录了下多个僵尸网络如何利用住宅代理软件和流媒体设备本身安全漏洞的复杂组合，迅速奴役了数百万台电视盒子 (https://krebsonsecurity.com/2026/01/the-kimwolf-botnet-is-stalking-your-local-network/)。 ## 钱从何来 Bitsight 表示，它追踪到全球约有 38,000 台电视盒子向已过期的 Fengwo Group 域名回传信息。基于这个数字，该报告估计这个广告欺诈网络每天带来的收入接近 50,000 美元（这还不包括住宅代理业务带来的可观收入）。然而，Falé 强调，这些估算非常保守，并且仅基于来自 Fengwo Group 一个核心（但较旧）域名的遥测数据。 至于 Fengwo Group 声称拥有 120,000 个“数字人”可供调配，Bitsight 的报告得出结论，这可能只是一个巧妙的营销策略，和/或一种避免引起外界对其运营怀疑的方式。 “从历史上看，当处理代理服务或 DDoS 时，我们有时会看到这些网站以不起眼的门面作掩护，以免宣传其 DDoS 能力或僵尸网络规模，” Falé 在报告中写道。“这里也可能存在同样的情况。” 如果 Fengwo Group 确实拥有数以万计的“AI 人”可以随意调遣，那么它似乎并没有指派其中任何一个来处理来自其自身网站的咨询。KrebsOnSecurity 通过公司主页上列出的联系电子邮件地址向 Fengwo Group 寻求评论，但请求被退回，回复是：“你的邮件无法送达 postmaster@fwgcloud\[\.\]com。他们的收件箱已满，或者现在收到的邮件太多了。” 正如 Bitsight 的分析所示，对于电视盒子和流媒体棒，最好坚持选择知名制造商的正规品牌，并且要谨慎、有选择性地在设备上安装任何应用——因为许多应用也可能捆绑住宅代理软件 (https://krebsonsecurity.com/2026/07/lg-to-ban-residential-proxies-from-smart-tv-apps/)。Google 表示，消费者可以通过遵循这些说明 (https://support.google.com/googleplay/answer/7165974) 来确认设备是否采用官方 Android TV OS 并具有 Play Protect 认证。 此外，Synthient 维护着一个已知曾向消费者发货并预装住宅代理软件及其他恶意应用的 IoT 设备运行列表 (https://github.com/synthient/public-research/blob/main/2026/01/kimwolf/product_names.csv)。细心的读者会注意到，Synthient 的列表中除了流媒体棒和盒子外，还包括其他 IoT 设备：正如 FBI 所警告的，在其他来自杂牌品牌的流行消费类 IoT 设备中，特别是数码相框，也发现了住宅代理软件。