싸구려 TV 스트리밍 스틱, 꺼져 있을 때 광고 사기 봇으로 돈 벌고 있었다

• 싸구려 TV 스트리밍 박스가 단순히 ‘수상한 앱이 깔린 기기’ 수준이 아니었다는 분석이 나옴

  • 보안 업체 Bitsight 연구원 Pedro Fale가 H96 스트리밍 스틱 관련 만료 도메인을 등록했다가, 대규모 광고 사기 네트워크 내부 트래픽을 들여다보게 됨
  • 이 도메인은 원래 전 세계 수만 대 H96 기기에서 하드웨어 정보와 설치 앱 목록을 주기적으로 받던 텔레메트리용 도메인이었음

• 이상한 점은 TV 박스들이 자기 자신을 TV 박스가 아니라 휴대폰이라고 신고했다는 것

  • 트래픽 대부분이 삼성, 비보, 화웨이, 샤오미 같은 모바일폰 모델로 위장돼 있었음
  • 연구원은 “Android TV Box 백도어에 보고하는 여러 기기가 ‘폰’이었다”는 식으로 표현했는데, 이쯤 되면 냄새가 꽤 진함

• 공통으로 깔려 있던 앱 2개는 Zhejiang Fengwo IoT Technology, 즉 Fengwo Group 쪽과 연결됐어

  • 이 회사는 2019년 중국 본토에서 설립됐고 광고 퍼블리싱 포트폴리오를 운영하는 것으로 분석됨
  • Bitsight는 홍콩, 싱가포르, 개인 명의 법인 껍데기까지 추적해 수익화 구조가 Fengwo Group으로 이어진다고 봄

• 광고 사기 방식도 꽤 공장화돼 있었음
  • Fengwo Group이 운영하는 AI 생성 뉴스/블로그 사이트에 기기들이 접속함
  • 금융, 건강, 교육, 게임, 음악, 음식 같은 카테고리의 기계 생성 글과 이미지가 깔려 있었지만, 광고는 아무 기기에게나 보이지 않았음
  • H96 박스가 위장한 특정 모바일 프로필과 맞을 때만 광고가 표시됐다는 게 포인트임

sequenceDiagram
    participant 티비박스 as H96 TV 박스
    participant 도메인 as 제어 도메인
    participant 사기사이트 as AI 생성 사이트
    participant 광고망 as 광고 네트워크
    participant 운영자 as Fengwo 운영자
    티비박스->>도메인: 기기 정보와 설치 앱 보고
    도메인->>티비박스: 광고 사기 작업 모듈 전달
    티비박스->>사기사이트: 모바일폰으로 위장해 접속
    사기사이트->>광고망: 광고 요청
    티비박스->>사기사이트: 페이지 이동과 광고 클릭
    광고망->>운영자: 가짜 클릭 수익 정산

• 운영 도구로 Blockly까지 쓴 정황이 나옴

  • Blockly는 구글이 만든 시각적 프로그래밍 언어로, 원래는 아이들이 코딩을 배우기 쉽게 만든 도구에 가까움
  • Bitsight 보고서에 따르면 운영자는 블록을 끌어다 붙여 사기 루틴을 정의하고, 저장하면 JavaScript로 export돼 S3 버킷에 올라가는 구조였음
  • 숙련 개발자는 템플릿 실행 이미지만 만들고, 낮은 숙련도의 작업자가 실행 유닛을 찍어내 운영 비용을 줄이는 식임

• TV가 켜져 있을 때와 꺼져 있을 때 역할이 달라지는 것도 흥미로운 디테일임

  • TV에 HDMI 신호가 잡히면 기기는 대체로 주거용 프록시로 동작함
  • TV가 꺼져 있으면 광고 사기 작업을 기다리는 상태로 돌아감
  • 연구원은 광고 사기가 리소스를 더 많이 먹기 때문에, 실제 영상 스트리밍을 방해하지 않으려고 이렇게 나눴을 가능성이 있다고 봄

• 규모도 작지 않음

  • Bitsight가 만료 도메인 하나로 관찰한 기기만 전 세계 약 3만8000대임
  • 이 숫자를 바탕으로 광고 사기 네트워크 매출을 하루 약 5만 달러로 추정했음
  • 다만 이건 Fengwo Group의 오래된 핵심 도메인 하나 기준이라, 연구원은 꽤 보수적인 추정치라고 강조함

• 문제는 이런 기기들이 여전히 대형 쇼핑몰에서 팔린다는 점임

  • Amazon, Best Buy, Newegg 같은 곳에서도 비공식 안드로이드 기반 저가 TV 박스가 수백 종 판매되고 있음
  • 인플루언서 마케팅으로 ‘구독 없이 여러 스트리밍을 볼 수 있다’는 식으로 팔리는 경우가 많음
  • FBI와 보안 업계가 계속 경고해도, 유통 자체가 쉽게 끊기지 않는 구조임

• 결론은 꽤 단순함. 이름 모를 초저가 TV 박스를 업무망이나 홈오피스망에 꽂지 말 것

  • Google 공식 Android TV OS와 Play Protect 인증 여부를 확인하는 게 최소선임
  • 이미 설치했다면 같은 네트워크에 개발 장비, NAS, 사내 VPN 장비가 같이 있는지부터 봐야 함
  • 싸게 산 스트리밍 박스 하나가 네트워크 전체의 신뢰 경계를 망가뜨릴 수 있음

기술 맥락

• 이 사례의 핵심 선택은 기기를 직접 해킹하는 게 아니라, 이미 팔린 저가 TV 박스를 트래픽 인프라로 쓰는 방식이에요. 공격자 입장에선 데이터센터 IP보다 가정용 IP가 훨씬 자연스러워 보이기 때문에 광고망이나 사이트 차단을 피하기 좋거든요.

• TV 박스가 휴대폰으로 위장한 이유도 광고 생태계와 맞물려 있어요. 모바일 광고 단가와 타기팅 조건이 따로 움직이기 때문에, 특정 휴대폰 프로필에서만 광고가 뜨게 만들면 가짜 클릭을 더 그럴듯하게 만들 수 있어요.

• Blockly를 쓴 대목은 운영 자동화 관점에서 꽤 중요해요. 고급 개발자가 매번 사기 스크립트를 짜지 않아도, 낮은 숙련도의 운영자가 블록을 조립해 작업 루틴을 만들 수 있으니 조직 전체 처리량이 올라가거든요.

• 방어 쪽에서 보면 이건 엔드포인트 보안보다 네트워크 자산 관리 문제에 가까워요. 공식 인증이 없는 IoT나 미디어 기기를 업무망에 섞어두면, 그 기기가 프록시 출구나 봇넷 노드가 돼도 한동안 알아차리기 어렵기 때문이에요.