Loading malware…
19 distinct techniques documented for this family, organized by ATT&CK tactic.
In ad-fraud mode, it browses websites operated by the attackers, most of them stocked with AI-generated articles covering topics such as finance, health, and food.
Furthermore, operators built those routines using a customised version of Blockly, a visual programming system commonly used to teach children how to code. Dragging blocks together allowed workers with limited technical knowledge to prepare new advertising campaigns without writing each routine from the beginning.
Готовые сценарии экспортируются в JavaScript, загружаются в S3, а затем рассылаются на ТВ-приставки.
To make the activity resemble human browsing, Fuyao used Android accessibility data, optical character recognition and a YOLO computer vision model trained to identify page elements, including advertisements and Taboola recommendation widgets.
To make the activity resemble human browsing, Fuyao used Android accessibility data, optical character recognition and a YOLO computer vision model trained to identify page elements, including advertisements and Taboola recommendation widgets.
...бюджетные ТВ-приставки на Android имитируют смартфоны Samsung, Huawei, Xiaomi и Vivo. ... приложения, которые полностью переписывают их аппаратный профиль: управляющий сервер передает им конфигурацию выбранной модели смартфона, а малварь подменяет свойства, способные выдать настоящую плату...
По данным специалистов, некоторые приставки сразу поставляются с приложениями, которые полностью переписывают их аппаратный профиль...
Если приставка обнаруживает активное HDMI-подключение, она превращается в SOCKS5-прокси и пропускает чужой трафик через домашний интернет владельца.
Each Android TV box would periodically send full hardware information and the entire list of installed apps.
Each Android TV box would periodically send full hardware information and the entire list of installed apps.
This app ecosystem also sends logs, periodic screenshots, and can even livestream the ‘screen’ back to the C2.
devices livestream the screen back to the server, and its operators constantly seek to implement novel technology within their processes.
Если приставка обнаруживает активное HDMI-подключение, она превращается в SOCKS5-прокси и пропускает чужой трафик через домашний интернет владельца.
...получив контроль над освободившимся доменом, который использовался операторами кампании для сбора телеметрии и поддержания работы «вшитого» в приставки бэкдора.
The system relies on a set of hardcoded IP addresses and ports for initial contact and to establish persistent WebSocket connections.
Если приставка обнаруживает активное HDMI-подключение, она превращается в SOCKS5-прокси и пропускает чужой трафик через домашний интернет владельца.
When an HDMI cable is connected, the device tends to operate as a residential SOCKS5 proxy, forwarding third-party internet traffic through the owner’s home network.
While a television was in use, the software could operate the box as a SOCKS5 residential proxy. Traffic from customers of a proxy service would then leave through the device owner’s home internet address, making it appear to originate from an ordinary residential connection.
Готовые сценарии экспортируются в JavaScript, загружаются в S3, а затем рассылаются на ТВ-приставки.
Researcher Pedro Falé uncovered the operation while investigating factory-installed remote-management backdoors that had been left enabled on Android TV boxes sold to consumers.
The applications could also send logs and screenshots to command servers and livestream their virtual screen through WebRTC.
1 indicator attributed across vendor reports, sandbox runs, and researcher write-ups. Values are masked here and available in full in Mallory.
2 sources tracked across advisories, community write-ups, and news. New activity surfaces here as Mallory finds it.