O que verificar antes de comprar um stick de streaming para TV

• Surgiram indícios de que dezenas de milhares de dispositivos de streaming H96 se passam por celulares para clicar em anúncios em sites gerados por IA e são recrutados para uma rede que aluga a conexão de internet dos usuários a terceiros
• O app da Zhejiang Fengwo IoT Technology instalado nos dispositivos recebe módulos Blockly por tarefa e automatiza desde a execução do navegador até a navegação por páginas, o gerenciamento de abas e cliques em anúncios
• O H96 alterna de função: atua como proxy residencial quando há sinal HDMI da TV e, quando a TV é desligada, fica aguardando tarefas de fraude publicitária com alto consumo de recursos
• A Bitsight rastreou cerca de 38 mil dispositivos no mundo todo a partir de um domínio expirado, e estimou apenas a receita com fraude publicitária em cerca de US$ 50 mil por dia; porém, é um número conservador, pois reflete apenas um domínio central antigo
• É preciso escolher dispositivos de fabricantes confiáveis com Android TV oficial e certificação Play Protect, além de limitar a instalação de apps; produtos IoT de marcas desconhecidas podem vir com proxies residenciais ou apps maliciosos pré-instalados

---

Rede de fraude publicitária revelada no H96

• Pedro Falé, pesquisador de ameaças da Bitsight, registrou um domínio expirado que coordenava cliques falsos em anúncios feitos pelo H96 e observou o tráfego interno
  • Esse domínio era usado para telemetria, coletando periodicamente informações completas de hardware e a lista de apps instalados de dezenas de milhares de H96 ao redor do mundo
  • A maioria das TV boxes que enviava dados se identificava como modelos de celular da Samsung, Vivo, Huawei, Xiaomi e outras marcas
• Dois apps encontrados em comum em todos os dispositivos foram criados pela Zhejiang Fengwo IoT Technology Ltd, fundada na China continental em 2019
  • A empresa opera um negócio de publicação de anúncios sob o nome Fengwo Group
  • Várias patentes registradas correspondem ao funcionamento interno desses apps
  • A Bitsight TRACE rastreou empresas em Hong Kong e Singapura usadas para receber receitas, além de empresas de fachada em nome de uma única pessoa, e as conectou ao Fengwo Group

Sites gerados por IA e exibição seletiva de anúncios

• Os apps dos dispositivos usam o H96 como uma fonte controlada de tráfego para acessar sites gerados por IA do Fengwo Group e clicar em anúncios
• Os sites publicam notícias e gráficos gerados por máquina em áreas como finanças, saúde, educação, jogos, música e alimentação
• Os anúncios não são visíveis para visitantes comuns; eles aparecem apenas para visitantes que correspondem ao perfil móvel falsificado pelo H96

Dificuldade operacional reduzida com Blockly

• O fwgcloud[.]com, do Fengwo Group, afirma ter criado mais de 120 mil “AI digital humans” que podem ser alugados para companhia emocional, atendimento ao cliente 24 horas, design criativo e outros usos
• Os dados do certificado SSL desse domínio levam a outros domínios relacionados aos apps do H96 e à função de disfarce como celular
• Uma wiki interna mostra que o Fengwo Group usa uma implementação própria do Blockly, linguagem de programação visual do Google criada para ensinar programação a crianças
• Operadores conseguem montar rotinas de tarefas fraudulentas arrastando e soltando blocos, mesmo sem entender os princípios do código subjacente
  • As rotinas salvas são exportadas como JavaScript e enviadas para um bucket S3
  • Apenas um pequeno número de desenvolvedores mais qualificados cria imagens de unidades de execução de templates, e desenvolvedores menos experientes podem produzir unidades de execução com base nelas, reduzindo os custos operacionais
• Os H96 selecionados recebem módulos Blockly adequados à tarefa
  • Executam um navegador em segredo para visitar sites
  • Navegam pelas páginas e gerenciam abas
  • Encontram anúncios e clicam neles
• O Fengwo Group combina três sistemas de visão e raciocínio em uma única interface para que bots identifiquem anúncios e naveguem pelos sites como humanos

Alternância de função conforme o estado de uso da TV

• O H96 não executa duas tarefas em paralelo no mesmo momento; ele realiza apenas uma delas: intermediação como proxy residencial ou fraude publicitária
  • Quando detecta sinal HDMI na TV conectada, interpreta que o usuário pretende assistir a vídeos e, em geral, atua como proxy residencial
  • Quando a TV é desligada, volta ao estado de espera por tarefas de fraude publicitária
• Falé avalia que essa estrutura de alternância é usada porque a fraude publicitária consome muitos recursos e poderia atrapalhar a função original de streaming

Riscos de segurança criados por dispositivos de streaming desconhecidos

• Apesar de alertas repetidos do FBI e do setor de segurança, Amazon, Best Buy, Newegg e outras lojas continuam vendendo centenas de dispositivos e marcas com Android não oficial do Google
  • Esses produtos também são promovidos por influenciadores online como forma de assistir a vários serviços de streaming e transmissões ao vivo sem assinatura
• Dispositivos de streaming desconhecidos quase sempre vêm com software de proxy residencial pré-instalado, que aluga o endereço IP do usuário a clientes pagantes anônimos
  • Entre esses clientes há empresas agressivas de coleta de conteúdo, revendedores de ingressos e até cibercriminosos
• TV boxes baratas têm recursos básicos de segurança e autenticação frágeis, trazendo riscos adicionais para redes domésticas ou corporativas
• Em janeiro de 2026, a Synthient registrou casos em que várias botnets combinaram vulnerabilidades em software de proxy residencial e em dispositivos de streaming para assumir rapidamente o controle de milhões de TV boxes

Escala do rastreamento e estimativa de receita

• A Bitsight rastreou cerca de 38 mil TV boxes no mundo todo que se conectaram a um domínio expirado do Fengwo Group
• Com base nessa escala, estimou a receita da rede de fraude publicitária em cerca de US$ 50 mil por dia
  • A conta não inclui a receita significativa gerada pelo negócio de proxy residencial
  • Como usou apenas a telemetria de um domínio central antigo, Falé considera essa uma estimativa bastante conservadora
• A divulgação de 120 mil “AI digital humans” pode ser marketing ou uma fachada para ocultar a escala e a operação reais da botnet
  • Já houve precedentes de serviços de proxy e DDoS que usaram formas de negócio discretas para esconder funcionalidades ou o tamanho de botnets
• As perguntas enviadas ao contato no site do Fengwo Group foram devolvidas com erros informando que a caixa de entrada estava cheia ou que havia e-mails demais

O que verificar antes de comprar ou usar

• Para TV boxes e sticks de streaming, escolha produtos de marca de fabricantes confiáveis e avalie de forma restritiva os apps a instalar
• Como o próprio app pode incluir software de proxy residencial, escolher apenas dispositivos oficiais não elimina todos os riscos
• É possível verificar a presença do Android TV OS oficial e da certificação Play Protect seguindo a orientação do Google
• A Synthient mantém uma lista de dispositivos IoT conhecidos por virem com proxies residenciais e apps maliciosos pré-instalados
• O risco não se limita a sticks de streaming e TV boxes; o FBI alerta que software de proxy residencial também foi encontrado em outros dispositivos IoT de consumo, como porta-retratos digitais de marcas aleatórias

[GN⁺]

Comentários no Hacker News

• Se Amazon, Best Buy, Newegg e outras continuam vendendo dispositivos de streaming nocivos apesar de o FBI e o setor de segurança alertarem repetidamente sobre os riscos, grandes varejistas também devem ser responsabilizados. Não há motivo para receberem imunidade diferente de quando vendem alimentos contaminados ou brinquedos infantis perigosos

  • Em um mercado online inundado por produtos baratos, o principal valor dos varejistas está em verificar os produtos para que os clientes possam comprar com confiança. Mas as lojas que vendem de tudo viraram lugares que apenas reembolsam depois que o problema aparece, em vez de garantir a qualidade antes da venda
  • Como muitos são produtos chineses, é difícil impedir além de bloquear as vendas, e os fabricantes jamais avisariam grandes varejistas de que usam a conexão de internet dos clientes para fraudes. Se uma empresa americana fizesse o mesmo, deveria ser bloqueada, ter as operações suspensas e ser processada
  • O motivo de eu não gostar dos marketplaces dessas lojas é que os produtos nem passam pelo estoque do varejista, e a empresa atua, na prática, apenas como mecanismo de busca e processador de pagamentos
  • Supermercados também devem arcar com responsabilidade e sanções regulatórias se venderem alimentos contaminados. Não dá para operar a sociedade só com o princípio de responsabilidade do comprador
  • Quase não há meios de punir essas empresas. Nem mesmo a DJI está sendo impedida de driblar proibições e enviar drones sob outras marcas

• Comprei na Amazon um projetor chinês de cerca de US$ 40 e, ao conectá-lo à internet, anúncios ficavam aparecendo no canto da tela mesmo durante a reprodução de filmes, sem opção de desligar. Não é um dispositivo em formato de stick, mas o princípio é parecido

  • Em um artigo que analisava um projetor semelhante, já foi descoberto que havia um proxy residencial rodando dentro do aparelho. É melhor não conectar esse tipo de dispositivo à internet
  • Fica a dúvida se a conexão à internet era realmente necessária. Talvez bastasse usar só a entrada DisplayPort ou HDMI
  • É preciso cuidado ao culpar a vítima, mas é difícil entender por que alguém conectaria deliberadamente à internet um produto chinês de US$ 40

• Neste caso, como ele já saiu da fábrica configurado para ser usado em proxy residencial e fraude publicitária, há má-fé clara. Mas, se for um dispositivo ruim que usa Android antigo e não recebe patches, uma única vulnerabilidade zero-click poderia tomá-lo e explorá-lo para o mesmo fim

  • Do ponto de vista de cibersegurança, uma TV box de streaming é um dos piores dispositivos que se pode comprar. Há um episódio relacionado do Darknet Diaries: https://darknetdiaries.com/episode/172/
  • Eu estranhava a quantidade constante de cadastros fraudulentos vindos do Vietnã em um serviço exclusivo dos EUA, até ouvir que uma grande operadora de internet local usa modems chineses com segurança péssima.
    Parece ser senso comum que, quando o desempenho fica lento, é sinal de que o modem foi recrutado para uma botnet e deve ser trocado; como o custo de uso dos nós é baixo demais, os spammers aparentemente nem monitoram direito o estado dos bots
  • Se o projeto for malfeito, fico curioso se seria fácil fazer engenharia reversa do dispositivo e usar só o streaming gratuito em um aparelho sem as funções fraudulentas
  • Também fico curioso até que ponto a malícia pode ser projetada para parecer incompetência

• Quem compra um produto que promete conteúdo ilimitado por um pagamento único também é vítima, mas ao mesmo tempo isso parece o típico caso de bom demais para ser verdade

  • Os serviços de streaming ficaram fragmentados demais, e os títulos saem do catálogo com frequência, tornando difícil para usuários comuns encontrar onde está o conteúdo que querem.
    Mesmo para assistir a uma série de Pokémon, é preciso pular entre Netflix, serviço de streaming de Pokémon, Prime Video, Freevee, Hoopla, Amazon, Tubi, Hulu, canal Roku etc.; na prática, são necessários 8 serviços
  • Clientes idosos continuam me enviando links desses dispositivos de streaming ou de selos pela metade do preço e compram mesmo quando eu digo, toda vez, para não comprar. Uma pessoa tentou provar que os selos pela metade do preço eram reais enviando um cartão com eles, e ele de fato foi entregue; às vezes dá vontade de responsabilizar também o comprador
  • Não há motivo para um consumidor presumir que um produto vendido na Amazon, uma das maiores varejistas do país, seja um dispositivo ilegal. Se o varejista não consegue controlar vendedores terceiros, deveria encerrar esse programa; ao continuar deixando isso acontecer, só deteriora ainda mais a reputação da Amazon
  • Se o produto promete contornar serviços de streaming com um aparelho barato sem pagar assinatura, é inevitável que esse mercado atraia golpistas. É difícil entender por qual mecanismo o cliente espera ter Netflix grátis etc., a menos que seja acessando contas de outras pessoas
  • TV, rádio e YouTube podem ser usados gratuitamente sem limite, então alguém pode pensar que streaming também funciona assim. Para quem cresceu na era da TV aberta e do rádio, é compreensível não entender a diferença

• Dá vontade de configurar VLANs no roteador para isolar meus computadores confiáveis de outros dispositivos que entram na rede

• Toda vez que vejo uma notícia dessas, sinto que acertei ao escolher um ThinkCentre Tiny com Linux como dispositivo de streaming. Ele cabe atrás da TV, pode ser encontrado usado por cerca de US$ 40 e, dependendo do modelo, também serve como console para jogos clássicos

• Um familiar usou um desses dispositivos e, além do preço do stick, também pagava uma assinatura anual. Quando ligava o aparelho, ninguém mais conseguia usar a rede, ele varria até a rede interna e se conectava a serviços no mundo todo, saturando algumas tabelas do roteador e bloqueando outros clientes. Claramente tinha comportamento malicioso intencional

  • Parece necessário algum desenho ou guia simples que explique os riscos desses aparelhos de forma que consumidores comuns entendam. É fácil ver gente ao redor usando dispositivos que prometem streaming gratuito

• Enganar redes de anúncios em si não me parece tão ruim, mas usar minha conexão de internet como proxy é claramente horrível. Eu não ficaria surpreso se o vendedor revendesse minha conexão como serviço de VPN

  • Mesmo que você não goste do alvo, fraude continua sendo errado
  • Cliques falsos, mesmo em pequena escala, afetam as finanças e os preços de quem compra anúncios. Nessa estrutura, parece que o único lado que lucra é o golpista que opera os sites afiliados falsos nos quais o dispositivo clica
  • Rodar um proxy em si não é ruim, e poderia até haver vantagens se a receita cobrisse a assinatura. Se você vê com bons olhos operar nós Tor, especialmente nós de saída, poderia enxergar proxies de forma semelhante; o errado é executá-los sem o conhecimento do usuário

• Felizmente parece estar limitado a um aparelho específico chamado H96, e também há um vídeo do Darknet Diaries sobre dispositivos de streaming: https://www.youtube.com/watch?v=dS6PkuZuxJ4

  • Não é um problema de uma única linha de produtos. A Synthient, serviço de rastreamento de proxies, monitora cerca de 1.000 fabricantes e números de modelo de TV boxes de streaming, porta-retratos digitais e outros dispositivos que incluem software de proxy residencial e apps maliciosos.
    https://github.com/synthient/public-research/blob/main/2026/...

• Fico curioso sobre como identificar e bloquear esses serviços de proxy e cliques em anúncios em roteadores como Ubiquiti ou pfSense. Há 10–15 anos descobri que uma esteira estava acessando um portal chinês e desliguei o Wi‑Fi dela, mas me preocupo com outros dispositivos.
  Quero saber se usam portas específicas ou se é difícil distingui-los do tráfego comum de internet. Também me preocupa a possibilidade de monitorarem outras comunicações, embora eu ache que HTTPS deva bloquear a maior parte disso