安全公司Bitsight的研究员Pedro Falé,接管了一个曾经控制H96电视盒子的过期域名。域名后台数据显示,全球约3.8万台这类廉价电视棒仍在联网,伪装成三星、华为、小米等品牌手机型号执行任务。
这些设备靠HDMI信号自动切换身份。电视开着时充当住宅代理,把家里的公网IP租给陌生人;检测不到信号时,转去执行AI生成网站的广告点击任务。廉价和"免订阅"从来不是这类产品的优点,而是获客话术——插上电,风险已经从隐私泄露,变成设备被拉进黑产链条。
运行机制:有信号做代理,没信号刷广告
设备检测到HDMI信号时,主要转发住宅代理流量。这时电视正在使用,用户几乎察觉不到网络变慢。
一旦检测不到信号,设备立刻切回待命,接收广告欺诈任务。Bitsight认为两种角色错开出现,是因为刷广告太吃资源,硬扛着跑会拖累观看体验,反而暴露自己。
Bitsight追踪到约3.8万台设备,回传数据到这一个过期域名。这只是有限遥测下的估算,不代表H96或所有同类设备的总感染规模。
按此估算,广告欺诈的保守日收入接近5万美元,同样来自这单一较旧域名,不含代理转发的额外收益。设备具体分布在哪些地区,Bitsight没有披露。
设备预装的两个App,来自浙江丰窝物联科技,对外以"丰窝集团"运营一套AI生成内容网站矩阵——财经、健康、教育、游戏都有,访客只要不是"手机"身份就看不到广告。操作员甚至不用写代码,用谷歌开发给孩子学编程的可视化工具Blockly拖积木,就能生成一套刷量脚本。Bitsight在丰窝内部一名开发者的留言里看到,对方直言这套流程是为了"降低对高技能人员的依赖,压低运营成本"。
丰窝官网还宣称自己养了超过12万个"AI数字人",可以租来做情感陪伴、客服和创意设计。Bitsight认为这更像是把真实规模包装成别的说法,这个数字未经证实,也没有第三方核实。
真正的风险:不是假点击,是家里的IP被借走
广告欺诈骗的是广告主的钱,和你关系不大。真正该在意的是被当作住宅代理的那部分流量——它把家里的公网IP租给陌生人,爬虫公司、抢票黄牛、网络犯罪分子都可能是买家。
便宜和免订阅从不是卖点,而是入场券。
FBI在2025年已经就这类联网设备被用于犯罪活动发过警告。2026年1月,追踪服务Synthient记录过一次代号"Kimwolf"的僵尸网络,靠代理软件和设备漏洞的双重缺口,吞下几百万台电视盒子。H96是又一个案例,不是孤例。
家庭用户要担心的是:家里的网络可能已经变成别人的"干净IP"。一旦被平台标记滥用,自己上网、下单、办公可能跟着受牵连。
小型办公室的风险更直接。如果允许员工把这类盒子接进公司WiFi,一台被借用的电视棒足以拖累整个办公网络的对外IP信誉,爬虫封禁、支付风控误伤都可能因此背锅。IT管理人员该做的,是先核对网络里有没有类似设备,再决定隔离还是下线。
买之前看认证,买了之后先排查
亚马逊、百思买、Newegg这些平台至今仍在卖成百上千款贴牌电视棒,装着非官方Android系统,卖点永远是"免订阅看直播"。
| 白牌电视盒子(如H96) | Android TV OS + Play Protect认证机型 | |
|---|---|---|
| 系统来源 | 非官方Android系统 | 谷歌官方认证系统 |
| 供应链 | 不透明,预装App来源不明 | 相对透明,可查验认证信息 |
| 常见风险 | 代理/刷量模块 | 系统层面有谷歌审查背书 |
| 自装App风险 | 存在 | 同样存在 |
认证不是终身保险。即便硬件通过认证,用户后续自装的第三方App仍可能夹带代理程序,这一点上认证机型和白牌设备的差距会缩小。
已经买了白牌盒子的家庭用户,能做三件事:打开应用列表,查一遍有没有不认识的App;把电视盒子放进访客网络或单独的Wi-Fi分区,别和电脑、手机同一个局域网;如果盒子长期待机不关,建议直接拔电。恢复出厂设置能不能清掉预装模块,目前没有公开测试结果——如果程序写在固件层,重置未必管用。
小型办公室建议先对照Synthient在GitHub上维护的已知问题设备清单,查一遍网络里的设备。发现可疑机型,直接下线比继续观察更划算。
丰窝方面目前没有正面回应。记者按其官网留的联系邮箱发信询问,收到的是一封退信,理由是"对方邮箱已满"。