Box TV génériques : le piège de la fraude publicitaire et des botnets démasqué

Imaginez un instant que votre box TV, achetée 30 euros sur une plateforme en ligne, travaille pour des cybercriminels 24 heures sur 24. Pire encore, qu’elle se fasse passer pour un smartphone dernier cri afin de cliquer sur des publicités générées par une intelligence artificielle. Cette réalité, longtemps suspectée par les experts en sécurité, vient d’être mise au jour par une analyse approfondie du chercheur Pedro Falé et de la firme Bitsight. L’enquête, relayée par le célèbre journaliste Brian Krebs, révèle l’ampleur stupéfiante d’un réseau de fraude publicitaire utilisant des boîtiers génériques Android, principalement de la marque H96. Selon le rapport, ce système générerait près de 50 000 dollars par jour tout en exploitant la bande passante et la vie privée de milliers d’utilisateurs innocents. Plongeons au cœur de ce système qui transforme des foyers en rouages d’une machine à cash illégale, et découvrons comment vous protéger.

Box TV génériques : le double jeu (proxy résidentiel et fraude au clic)

Les box TV génériques, souvent vendues sous des marques obscures comme H96, MXQ ou X96, promettent un accès illimité au streaming pour un prix dérisoire, parfois inférieur à 30 euros. La contrepartie est massive et totalement opaque pour l’utilisateur. Ces appareils embarquent en réalité un double logiciel malveillant, orchestré par un même réseau de commande et contrôle.

D’un côté, un proxy résidentiel. Lorsque vous allumez votre téléviseur pour regarder un film, votre box loue votre connexion internet à des inconnus. Ces derniers peuvent l’utiliser pour du web scraping agressif, de l’achat de billets en gros (ticket scalping), ou pire, pour masquer des activités criminelles comme le doxxing ou l’attaque de sites web. Votre adresse IP, réputée « propre » et résidentielle, devient un bien précieux sur le marché noir.

De l’autre côté, lorsque l’écran est éteint, le boîtier bascule en mode fraude publicitaire. Comme l’explique Bitsight dans son rapport, le boîtier cesse de relayer du trafic proxy et attend les instructions du réseau Fengwo Group. C’est un système de va-et-vient parfaitement orchestré, où l’appareil ne réalise jamais les deux tâches simultanément pour ne pas éveiller les soupçons de l’utilisateur ou dégrader ses performances de streaming. Ce mécanisme astucieux permet aux fraudeurs de maximiser l’utilisation de la box sans éveiller les soupçons.

Anatomie d’une fraude : le spoofing de smartphones et les sites web IA

Le chercheur Pedro Falé a fait une découverte clé en enregistrant un nom de domaine expiré utilisé par les boîtiers H96 pour leur télémétrie. En analysant le trafic, il a constaté une anomalie flagrante : tous les boîtiers se faisaient passer pour des téléphones portables.

« Nous avons remarqué que quelque chose clochait terriblement. De multiples appareils se connectant à ce backdoor de box Android TV étaient des “téléphones”. » - Pedro Falé, chercheur chez Bitsight.

Les appareils usurpaient l’identité de modèles Samsung, Vivo, Huawei et Xiaomi. Cette technique de spoofing permet de tromper les régies publicitaires, qui voient arriver un trafic mobile légitime, bien mieux monétisé que le trafic desktop.

Mais l’ingéniosité du système ne s’arrête pas là. Les clics frauduleux ne sont pas dirigés vers des sites classiques, mais vers des sites web générés par intelligence artificielle, créés par le Fengwo Group. Ces sites, couvrant des thématiques variées (finance, santé, éducation, jeux vidéo), sont remplis d’articles et d’images générés automatiquement. Ils ne diffusent des publicités que si le visiteur correspond au profil spoofé du boîtier H96. C’est un écosystème fermé, conçu pour maximiser les revenus publicitaires sans éveiller les soupçons des annonceurs ou des réseaux de détection de la fraude.

Pour construire ces sites et orchestrer les clics, le Fengwo Group utilise Blockly, un langage de programmation visuel initialement conçu pour apprendre le code aux enfants. Cela permet à des opérateurs peu qualifiés de monter des routines de fraude complexes par simple glisser-déposer. Bitsight a même retrouvé la trace d’un développeur de Fengwo expliquant que « seul un petit nombre de développeurs hautement qualifiés est nécessaire pour construire les images des unités d’exécution modèles, et que les développeurs qui créent des unités d’exécution à partir de ces modèles ont des exigences techniques nettement inférieures, ce qui réduit considérablement les coûts d’exploitation de l’entreprise. »

Pour garantir que les clics soient crédibles, le système fusionne trois systèmes de vision et de raisonnement en une seule interface, permettant aux bots d’identifier correctement une publicité sur une page web et de naviguer sur le site comme le ferait un humain.

Fengwo Group : la façade des « 120 000 humains numériques »

Derrière cette opération se trouve Zhejiang Fengwo IoT Technology Co., Ltd, une entreprise fondée en 2019 en Chine continentale. Sur son site web, fwgcloud[.]com, elle se présente comme une société innovante dans l’interaction homme-machine, revendiquant la création de plus de 120 000 « humains numériques » (AI digital humans) destinés à la compagnie émotionnelle ou au service client 24h/24 et 7j/7.

Bitsight estime que cette revendication pourrait n’être qu’une façade marketing sophistiquée visant à masquer la véritable ampleur du botnet. « Historiquement, lorsqu’il s’agit de services proxy ou de DDoS, nous voyons parfois ces sites web se donner des apparences anodines pour ne pas attirer l’attention sur leur capacité DDoS ou la taille de leur botnet », explique Pedro Falé dans le rapport.

L’enquête a également mis au jour un réseau de sociétés écrans à Hong Kong et à Singapour, utilisées pour collecter les revenus de la fraude et blanchir l’argent. L’entreprise mère, Fengwo Group, reste soigneusement dissimulée derrière ces entités légales. Bitsight a également découvert que le domaine fwgcloud[.]com partageait ses données de certificat SSL avec d’autres domaines associés aux applications malveillantes trouvées sur les boîtiers H96, confirmant ainsi le lien direct. Enfin, le groupe a déposé plusieurs brevets décrivant précisément le fonctionnement interne de ces applications de fraude.

Les risques concrets pour l’utilisateur : bien plus qu’une simple fraude

Au-delà de l’aspect éthique et de l’impact sur les annonceurs (qui perdent des milliards chaque année), posséder une telle box chez soi expose l’utilisateur à des risques majeurs, souvent sous-estimés.

1. Atteinte à la vie privée : Votre connexion est utilisée par des inconnus. Tout ce qui transite par votre IP peut être associé à vos activités. Les opérateurs du botnet ont accès à la liste complète de vos applications installées et à vos habitudes de consommation.
2. Risques juridiques : Si un cybercriminel utilise votre proxy pour commettre un délit (achat de données volées, attaque informatique), l’enquête pourrait remonter jusqu’à vous. En France, la responsabilité de l’utilisateur pourrait être engagée si son réseau est utilisé à des fins illégales, même à son insu.
3. Insécurité chronique : Ces boîtiers ne reçoivent jamais de mises à jour de sécurité. En janvier 2026, Synthient documentait comment des botnets (notamment un variant du tristement célèbre Mirai) avaient asservi des millions de ces box en exploitant des failles de sécurité dans le logiciel proxy et le firmware de l’appareil.
4. Performance et bande passante : L’appareil consomme vos données et ralentit votre connexion, que ce soit pour le proxy ou la fraude publicitaire. Votre box peut devenir un goulet d’étranglement pour l’ensemble de votre réseau domestique.
5. Espionnage industriel : Pour les professionnels, installer un tel appareil sur le réseau d’une entreprise revient à offrir un accès privilégié à des acteurs malveillants.

« Ces box TV génériques sont horriblement peu sécurisées par défaut et dépourvues de toute forme d’authentification. En installer une sur votre réseau domestique ou professionnel, c’est inviter les ennuis. » - Conclusion des analyses de Bitsight et du FBI.

En France, la CNIL a déjà mis en garde contre les objets connectés non certifiés. L’ANSSI, dans ses guides de bonnes pratiques, insiste sur l’importance de maintenir ses équipements à jour et de n’utiliser que des appareils de confiance. Posséder une box générique, c’est potentiellement enfreindre ces recommandations et s’exposer à des risques de fuite de données personnelles.

Comment se protéger et identifier une box piégée ?

Face à cette menace, la règle est simple : privilégier les marques reconnues et les appareils certifiés par Google. L’écosystème Android TV officiel, avec Google Play Protect, offre une barrière de sécurité que les clones génériques ne peuvent tout simplement pas fournir.

Voici un tableau comparatif pour vous aider à faire le bon choix lors de votre prochain achat :

Liste des bonnes pratiques à adopter pour sécuriser votre domicile :

1. Achetez certifié Google : Vérifiez que l’appareil est bien certifié Android TV OS avec Play Protect. Vous pouvez consulter la liste officielle des appareils compatibles sur le site de Google.
2. Évitez les offres trop alléchantes : Une box à vie pour 30 € n’existe pas. Le produit, c’est vous et votre connexion.
3. Méfiez-vous des applications tierces : Même sur une box officielle, n’installez pas d’applications provenant de sources inconnues (sideloading). C’est la porte d’entrée principale pour les logiciels proxy.
4. Consultez la liste Synthient : Cette société de tracking tient à jour une liste des appareils IoT connus pour embarquer des logiciels proxy ou malveillants. Un excellent réflexe avant tout achat.
5. Surveillez votre trafic réseau : Un pic d’activité étrange la nuit, alors que votre TV est éteinte, peut être un signe. Un simple bloc-notes et un accès à l’interface de votre routeur peuvent vous alerter.

Encadré informatif : Comment vérifier la certification de votre box ?

Rendez-vous dans les paramètres de votre appareil Android TV.
Cherchez la section "À propos" > "Certification Google Play".
Si le statut affiché est "Certifié", l'appareil est officiel.
Si le statut est "Non certifié", il s'agit très probablement d'un clone non sécurisé.

Marques recommandées : Google (Chromecast), Nvidia (Shield TV), Amazon (Fire TV Stick), Apple (Apple TV). Ces constructeurs ont une réputation à défendre et appliquent des correctifs de sécurité réguliers.

L’ampleur du phénomène en chiffres et les perspectives

L’enquête de Bitsight a permis de quantifier l’opération. En suivant la télémétrie d’un seul domaine de commande et contrôle (C2) du Fengwo Group, les chercheurs ont identifié 38 000 boîtiers actifs dans le monde. Sur cette base, ils estiment les revenus de la fraude publicitaire à près de 50 000 dollars par jour.

Et ce n’est que la partie émergée de l’iceberg. Bitsight précise que ces estimations sont très conservatrices, car elles ne concernent qu’un seul domaine, probablement l’un des plus anciens. La flotte totale de « humains numériques » revendiquée par Fengwo (120 000) laisse présager un réseau bien plus vaste et des revenus potentiellement triplés.

Ce type de fraude, couplé à l’exploitation des proxy résidentiels, représente une menace systémique pour l’écosystème numérique. Selon l’Association of National Advertisers (ANA), la fraude publicitaire coûte chaque année des dizaines de milliards de dollars aux annonceurs. L’affaire H96/Fengwo montre une professionnalisation et une industrialisation de cette fraude, utilisant l’IoT comme cheval de Troie dans les foyers. Le FBI et les autorités françaises (ANSSI, CNIL) recommandent la plus grande prudence vis-à-vis de ces appareils.

Conclusion : la sécurité avant l’économie

L’affaire des box TV génériques H96 n’est pas un cas isolé. C’est la démonstration éclatante que le proverbe « si c’est gratuit, c’est vous le produit » n’a jamais été aussi vrai dans le domaine de l’IoT. En achetant un boîtier à bas prix, vous risquez non seulement votre vie privée et votre sécurité, mais vous participez involontairement à un vaste système de fraude publicitaire qui pollue l’économie numérique.

La leçon est claire : en matière de streaming, investir dans du matériel certifié et réputé est le seul moyen de profiter de ses contenus en toute tranquillité. Avant d’acheter votre prochaine box TV, posez-vous la question : ce boîtier à 30 euros vaut-il vraiment le risque de voir mon domicile transformé en rouage d’un botnet mondial ? Prenez le temps de vérifier, de comparer, et de choisir la sécurité. Votre réseau, vos données et votre portefeuille vous remercieront.