Was man vor dem Kauf eines TV-Streaming-Sticks prüfen sollte

• Zehntausende H96-Streaming-Geräte tarnten sich offenbar als Mobiltelefone, klickten Werbung auf KI-generierten Websites an und wurden in ein Netzwerk eingebunden, das die Internetverbindung der Nutzer an Dritte vermietet
• Die auf den Geräten installierte App von Zhejiang Fengwo IoT Technology lädt aufgabenbezogene Blockly-Module, die alles von Browser-Start über Seitennavigation und Tab-Verwaltung bis zum Werbeklick automatisieren
• Das H96 arbeitet bei einem HDMI-Signal des Fernsehers als Residential Proxy; ist der Fernseher ausgeschaltet, wechselt es in einen Wartezustand für ressourcenintensive Ad-Fraud-Aufgaben
• Bitsight verfolgte über eine abgelaufene Domain etwa 38.000 Geräte weltweit; allein die Einnahmen aus Ad Fraud wurden auf rund 50.000 US-Dollar pro Tag geschätzt, was jedoch eine konservative Zahl ist, da nur eine alte Kerndomain berücksichtigt wurde
• Empfohlen wird die Nutzung von Geräten vertrauenswürdiger Hersteller mit offizieller Android-TV- und Play-Protect-Zertifizierung sowie eine strikte Beschränkung installierter Apps; bei namenlosen IoT-Produkten können Residential Proxies oder schädliche Apps vorinstalliert sein

---

Das aufgedeckte Ad-Fraud-Netzwerk rund um H96

• Bitsight-Bedrohungsforscher Pedro Falé registrierte eine abgelaufene Domain, die gefälschte Werbeklicks des H96 koordinierte, und beobachtete darüber den internen Traffic
  • Die Domain diente der Telemetrie und sammelte regelmäßig vollständige Hardware-Informationen sowie Listen installierter Apps von Zehntausenden H96-Geräten weltweit
  • Die meisten TV-Boxen, die Daten sendeten, gaben sich als Smartphone-Modelle von Samsung, Vivo, Huawei, Xiaomi und anderen aus
• Zwei Apps, die auf allen Geräten gemeinsam gefunden wurden, stammen von Zhejiang Fengwo IoT Technology Ltd, gegründet 2019 auf dem chinesischen Festland
  • Das Unternehmen betreibt unter dem Namen Fengwo Group ein Werbepublisher-Geschäft
  • Mehrere registrierte Patente stimmen mit der internen Funktionsweise der Apps überein
  • Bitsight TRACE verfolgte in Hongkong und Singapur registrierte Firmen sowie eine Ein-Personen-Briefkastenfirma, die für den Empfang der Erlöse genutzt wurden, und verknüpfte sie mit der Fengwo Group

KI-generierte Websites und selektive Werbeeinblendung

• Die Apps auf den Geräten steuern das H96 so, dass es als kontrollierte Traffic-Quelle dient, die KI-generierte Websites der Fengwo Group besucht und dort Werbung anklickt
• Auf den Websites werden maschinell erzeugte Nachrichten und Grafiken aus Bereichen wie Finanzen, Gesundheit, Bildung, Spiele, Musik und Essen veröffentlicht
• Die Werbung ist für normale Besucher nicht sichtbar und wird nur Besuchern gezeigt, die zum vom H96 gefälschten mobilen Profil passen

Mit Blockly gesenkte Betriebshürden

• Die Website fwgcloud[.]com der Fengwo Group behauptet, mehr als 120.000 „AI digital humans“ erstellt zu haben, die sich etwa für emotionale Begleitung, 24-Stunden-Kundenservice und kreatives Design mieten lassen
• SSL-Zertifikatsdaten dieser Domain führen zu weiteren Domains, die mit der H96-App und der Tarnung als Mobiltelefon zusammenhängen
• Laut internem Wiki nutzt die Fengwo Group eine eigene Implementierung von Googles visueller Programmiersprache Blockly, die ursprünglich für das Programmierenlernen von Kindern entwickelt wurde
• Betreiber können Betrugsroutinen per Drag-and-drop aus Blöcken zusammenstellen, ohne die Prinzipien des zugrunde liegenden Codes zu verstehen
  • Gespeicherte Routinen werden als JavaScript exportiert und in einen S3-Bucket hochgeladen
  • Nur wenige hochqualifizierte Entwickler müssen die grundlegenden Template-Execution-Unit-Images erstellen; weniger erfahrene Entwickler können darauf aufbauend Ausführungseinheiten bauen, was die Betriebskosten senkt
• Ausgewählte H96-Geräte erhalten passende Blockly-Module für die jeweilige Aufgabe
  • Sie starten heimlich einen Browser und besuchen Websites
  • Sie navigieren über Seiten und verwalten Tabs
  • Sie finden Werbung und klicken sie an
• Die Fengwo Group kombiniert drei visuelle bzw. Inferenzsysteme in einer Oberfläche, damit Bots Werbung erkennen und Websites menschenähnlich navigieren können

Rollenwechsel je nach TV-Nutzung

• Das H96 führt nicht zwei Aufgaben gleichzeitig aus, sondern entweder Residential-Proxy-Weiterleitung oder Ad Fraud
  • Erkennt es am angeschlossenen Fernseher ein HDMI-Signal, nimmt es an, dass der Nutzer Inhalte ansehen will, und arbeitet meist als Residential Proxy
  • Ist der Fernseher ausgeschaltet, kehrt es in einen Wartezustand für Ad-Fraud-Aufgaben zurück
• Falé geht davon aus, dass diese Umschaltlogik genutzt wird, weil Ad Fraud ressourcenintensiv ist und die eigentliche Streaming-Funktion stören könnte

Sicherheitsrisiken durch namenlose Streaming-Geräte

• Obwohl FBI und Sicherheitsbranche wiederholt gewarnt haben, verkaufen Amazon, Best Buy, Newegg und andere weiter Hunderte Geräte und Marken mit inoffiziellem Google Android
  • Solche Produkte werden teils auch über Online-Influencer damit beworben, dass man damit ohne Abonnement verschiedene Streaming-Dienste und Live-TV sehen könne
• Auf namenlosen Streaming-Geräten ist nahezu standardmäßig Residential-Proxy-Software vorinstalliert, die die IP-Adresse des Nutzers an anonyme zahlende Kunden vermietet
  • Zu diesen Kunden zählen aggressive Content-Scraper, Ticket-Weiterverkäufer und Cyberkriminelle
• Günstige TV-Boxen sind bei grundlegender Sicherheit und Zertifizierung schwach und bringen zusätzliche Risiken in Heim- oder Büronetzwerke
• Im Januar 2026 dokumentierte Synthient einen Fall, in dem mehrere Botnets durch die Kombination von Schwachstellen in Residential-Proxy-Software und Streaming-Geräten schnell Millionen TV-Boxen übernahmen

Verfolgte Größenordnung und geschätzte Einnahmen

• Bitsight verfolgte weltweit rund 38.000 TV-Boxen, die eine abgelaufene Domain der Fengwo Group kontaktierten
• Auf dieser Basis wurden die Einnahmen des Ad-Fraud-Netzwerks auf rund 50.000 US-Dollar pro Tag geschätzt
  • Erhebliche Einnahmen aus dem Residential-Proxy-Geschäft sind darin nicht enthalten
  • Da nur die Telemetrie einer alten Kerndomain verwendet wurde, betrachtet Falé dies als sehr konservative Schätzung
• Die Werbung mit 120.000 „AI digital humans“ könnte Marketing sein oder eine Fassade, um die tatsächliche Größe und den Betrieb des Botnets zu verschleiern
  • Es gibt Präzedenzfälle, in denen Proxy- oder DDoS-Dienste unauffällige Geschäftsmodelle nutzten, um Funktionen oder Botnet-Größen zu verbergen
• Eine Anfrage an die auf der Website der Fengwo Group angegebene Kontaktadresse kam mit der Fehlermeldung zurück, das Postfach sei voll oder es gingen zu viele E-Mails ein

Was man vor Kauf und Nutzung prüfen sollte

• Bei TV-Boxen und Streaming-Sticks sollte man Markenprodukte von vertrauenswürdigen Herstellern wählen und auch installierte Apps nur sehr eingeschränkt zulassen
• Selbst bei Apps kann Residential-Proxy-Software enthalten sein; allein die Wahl eines offiziellen Geräts beseitigt das Risiko also nicht vollständig
• Laut der Anleitung von Google kann man prüfen, ob offizielles Android TV OS und eine Play-Protect-Zertifizierung vorhanden sind
• Synthient pflegt eine Liste von IoT-Geräten, bei denen Residential Proxies und schädliche Apps als vorinstalliert bekannt sind
• Das Risiko beschränkt sich nicht auf Streaming-Sticks und TV-Boxen; das FBI warnt, dass Residential-Proxy-Software auch in anderen Verbraucher-IoT-Geräten wie digitalen Bilderrahmen zufälliger Marken gefunden wurde

[GN⁺]

Hacker-News-Kommentare

• Wenn Amazon, Best Buy, Newegg usw. trotz wiederholter Warnungen des FBI und der Sicherheitsbranche weiterhin schädliche Streaming-Geräte verkaufen, dann müssen auch große Händler verantwortlich gemacht werden. Es gibt keinen Grund, warum sie im Gegensatz zum Verkauf kontaminierter Lebensmittel oder gefährlicher Kinderspielzeuge davon ausgenommen sein sollten

  • Der zentrale Wert von Händlern in einem Online-Markt voller Billigprodukte liegt darin, Produkte zu prüfen, damit Kunden ihnen vertrauen und kaufen können. Doch Läden, die alles verkaufen, sind eher zu Orten geworden, die hinterher nur Rückerstattungen anbieten, statt vor dem Verkauf Qualität zu garantieren
  • Viele stammen aus China, daher ist es schwer, mehr zu tun als den Verkauf zu blockieren, und Hersteller werden großen Händlern kaum mitteilen, dass sie die Internetverbindung der Kunden für Betrug missbrauchen. Würde ein US-Unternehmen dasselbe tun, müsste es gesperrt, stillgelegt und strafrechtlich verfolgt werden
  • Ein Grund, warum ich die Marktplätze solcher Läden nicht mag, ist, dass die Produkte nicht einmal durch den Lagerbestand des Händlers gehen und das Unternehmen faktisch nur als Suchmaschine und Zahlungsabwickler fungiert
  • Auch Lebensmittelgeschäfte müssen beim Verkauf kontaminierter Lebensmittel sowohl Verantwortung als auch regulatorische Strafen tragen. Eine Gesellschaft kann nicht allein nach dem Prinzip Käufer aufgepasst funktionieren
  • Es gibt kaum Mittel, solche Unternehmen zu bestrafen. Selbst bei DJI gelingt es nicht, zu verhindern, dass Drohnen unter anderen Marken verschickt werden, um Verbote zu umgehen

• Ich habe bei Amazon einen chinesischen Projektor für etwa 40 Dollar gekauft, und sobald ich ihn mit dem Internet verbunden habe, wurden selbst während der Filmwiedergabe ständig Anzeigen in einer Bildecke eingeblendet, ohne Möglichkeit, sie abzuschalten. Kein Stick, aber das Prinzip ist ähnlich

  • In einem Artikel über die Analyse eines ähnlichen Projektors wurde entdeckt, dass im Gerät ein Residential Proxy lief. Solche Geräte sollte man besser nicht mit dem Internet verbinden
  • Fraglich ist, ob überhaupt eine Internetverbindung nötig war. Hätte nicht die Nutzung nur über DisplayPort- oder HDMI-Anschluss gereicht?
  • Ich bin vorsichtig damit, dem Opfer die Schuld zu geben, aber warum man ein chinesisches 40-Dollar-Produkt unbedingt mit dem Internet verbinden musste, ist schwer nachzuvollziehen

• In diesem Fall ist die Böswilligkeit eindeutig, weil das Gerät ab Werk für Residential Proxy und Anzeigenbetrug eingerichtet wurde. Aber auch bei einem schlecht gebauten Gerät mit altem Android ohne Patches könnte schon eine Zero-Click-Schwachstelle reichen, um es zu übernehmen und für dasselbe zu missbrauchen

  • Aus Sicht der Cybersicherheit sind TV-Streaming-Boxen eines der schlimmsten Geräte, die man kaufen kann. Dazu gibt es eine passende Darknet-Diaries-Folge: https://darknetdiaries.com/episode/172/
  • Ich habe mich gewundert, warum es ständig betrügerische Anmeldungen aus Vietnam für einen nur in den USA verfügbaren Dienst gab, und dann gehört, dass ein großer lokaler Internetanbieter sicherheitstechnisch miserable chinesische Modems einsetzt.
    Wenn die Leistung nachlässt, gilt es dort offenbar schon als Faustregel, das Modem auszutauschen, weil das ein Zeichen dafür ist, dass es in ein Botnet eingespannt wurde; die Gebühren für die Nutzung der Nodes scheinen so billig zu sein, dass Spammer den Zustand ihrer Bots nicht einmal ordentlich überwachen
  • Wenn das Design schlampig ist, frage ich mich, ob man das Gerät per Reverse Engineering leicht so umbauen könnte, dass es nur noch kostenloses Streaming bietet und keine Betrugsfunktionen mehr hat
  • Ich frage mich, wie weit man Böswilligkeit so gestalten kann, dass sie wie Inkompetenz aussieht

• Käufer solcher Produkte, die gegen eine Einmalzahlung unbegrenzte Inhalte versprechen, sind Opfer, aber zugleich wirkt das wie ein typischer Fall von zu gut, um wahr zu sein

  • Streaming-Dienste sind inzwischen zu stark fragmentiert, und Inhalte verschwinden ständig, sodass normale Nutzer kaum noch herausfinden können, wo gewünschte Inhalte verfügbar sind.
    Selbst um eine einzelne Pokémon-Serie zu sehen, muss man zwischen Netflix, dem Pokémon-Streaming-Dienst, Prime Video, Freevee, Hoopla, Amazon, Tubi, Hulu und dem Roku-Kanal wechseln; praktisch braucht man acht Dienste
  • Ältere Kunden schicken mir ständig solche Streaming-Geräte oder Links zu Briefmarken zum halben Preis, und obwohl ich ihnen jedes Mal sage, sie sollen das nicht kaufen, tun sie es doch. Einer hat sogar eine Karte mit diesen Briefmarken verschickt, um zu beweisen, dass sie echt sind, und sie wurde tatsächlich zugestellt; manchmal möchte man daher auch dem Käufer Verantwortung zuschreiben
  • Verbraucher haben keinen Grund anzunehmen, dass ein bei einem der größten Händler des Landes, Amazon, verkauftes Produkt ein illegales Gerät ist. Wenn der Händler Drittanbieter nicht kontrollieren kann, sollte er das Programm abschaffen; wenn Amazon das weiterlaufen lässt, beschädigt das nur den eigenen Ruf weiter
  • Wenn ein Produkt Streaming-Dienste ohne Abo durch ein billiges Gerät umgehen soll, ist das zwangsläufig ein Markt, der Betrüger anzieht. Es ist schwer zu verstehen, was Kunden sich bei kostenlosem Netflix usw. technisch vorstellen, wenn es nicht darum geht, auf fremde Konten zuzugreifen
  • TV, Radio und YouTube sind unbegrenzt kostenlos nutzbar, daher kann man denken, Streaming müsse genauso funktionieren. Wer in der Ära von terrestrischem Fernsehen und Radio aufgewachsen ist, versteht den Unterschied womöglich nicht

• Ich komme zu dem Schluss, dass ich auf meinem Router VLANs einrichten sollte, um vertrauenswürdige Computer von anderen Geräten im Netzwerk zu isolieren

• Bei solchen Meldungen habe ich jedes Mal das Gefühl, mit einem ThinkCentre Tiny mit installiertem Linux als Streaming-Gerät die richtige Wahl getroffen zu haben. Er passt hinter den Fernseher, ist gebraucht für etwa 40 Dollar zu bekommen und kann je nach Modell auch als Retro-Konsole dienen

• Ein Familienmitglied hat so ein Gerät genutzt und neben dem Preis für den Stick auch eine jährliche Gebühr bezahlt. Wenn es eingeschaltet war, konnte sonst niemand das Netzwerk vernünftig nutzen, es hat sogar das interne Netz gescannt und Dienste weltweit angesprochen, dabei Teile der Routing-Tabellen des Routers geflutet und andere Clients blockiert. Es ist klar, dass es absichtlich bösartig agiert hat

  • Es scheint eine einfache Grafik oder Anleitung zu brauchen, damit normale Verbraucher die Gefahr solcher Geräte verstehen. Man sieht überall Menschen, die Geräte benutzen, die kostenloses Streaming versprechen

• Dass Werbenetzwerke getäuscht werden, fühlt sich an sich nicht schlimm an, aber meine Internetverbindung als Proxy zu verwenden, ist eindeutig schrecklich. Es würde mich nicht überraschen, wenn Verkäufer meine Leitung sogar als VPN-Dienst weiterverkaufen

  • Auch wenn einem das Ziel des Schadens nicht sympathisch ist, bleibt Betrug falsch
  • Fake-Klicks beeinflussen selbst in kleinem Maßstab die Finanzen und Preise von Werbekunden. In diesem Konstrukt profitiert offenbar nur der Betrüger, der die gefälschte Affiliate-Seite betreibt, auf die das Gerät klickt
  • Das Betreiben eines Proxys an sich ist nicht schlecht, und wenn damit Abo-Kosten gedeckt würden, könnte es sogar Vorteile geben. Wer Tor-Nodes, insbesondere Exit-Nodes, positiv sieht, könnte Proxys ähnlich bewerten, aber sie ohne Wissen des Nutzers zu betreiben ist das Problem

• Zum Glück scheint es auf ein bestimmtes Gerät namens H96 begrenzt zu sein, und es gibt auch ein Darknet-Diaries-Video über Streaming-Geräte: https://www.youtube.com/watch?v=dS6PkuZuxJ4

  • Es ist kein Problem nur einer einzelnen Produktlinie. Der Proxy-Tracking-Dienst Synthient verfolgt rund 1.000 Hersteller- und Modellnummern von Streaming-Boxen, digitalen Bilderrahmen und anderen Geräten mit Residential-Proxy-Software und bösartigen Apps.
    https://github.com/synthient/public-research/blob/main/2026/...

• Ich frage mich, wie man auf Routern wie Ubiquiti oder pfSense solche Proxy- und Anzeigenklick-Dienste erkennen und blockieren kann. Vor 10–15 Jahren habe ich entdeckt, dass ein Laufband auf ein chinesisches Portal zugriff, und ihm dann das Wi‑Fi abgeschaltet, aber ich mache mir auch um andere Geräte Sorgen.
  Ich würde gern wissen, ob sie bestimmte Ports nutzen oder ob sie kaum von normalem Internetverkehr zu unterscheiden sind. Auch die Möglichkeit, dass andere Kommunikation überwacht wird, beunruhigt mich, auch wenn HTTPS das meiste verhindern dürfte