Google a anunțat marți, 3 noiembrie, că a destructurat XCPE. Este o rețea de tip botnet formată din peste 1,3 milioane de TV box-uri Android, aflate în peste 200 de țări. Compania acuză producătorul chinez Videostrong Technology că a construit și a operat rețeaua intenționat, pentru profit. Potrivit raportului Google Threat Intelligence Group, intervenția a avut loc în săptămâna anterioară. La ea au participat Agenția Națională de Poliție a Japoniei și firmele Lumen, HUMAN Security, Plume, Synthient și TrendAI.
Google a rupt relațiile cu Videostrong. Producătorul și eventualele sale filiale viitoare nu mai au voie să fabrice dispozitive Android certificate și nici să livreze software altor producători certificați. Google spune că a găsit codul malițios în numeroase modele și mărci, de-a lungul mai multor ani. Din acest motiv, compania exclude ipoteza unui angajat care a acționat singur sau a unei erori de dezvoltare. Videostrong nu a răspuns solicitărilor de comentariu, notează The Record.
Cum funcționa backdoorul ascuns în firmware
Ars Technica subliniază un detaliu neobișnuit: aparatele compromise aveau certificare Google. Componenta numită x.cpe (com.oemservice în unele versiuni) era preinstalată în firmware și rula cu privilegii de sistem. Dacă utilizatorul o ștergea, se reinstala automat la următoarea repornire. Potrivit Google, Videostrong a folosit tehnici de mascare a codului pentru a profita de o lacună din testele de certificare. Astfel, codul malițios era încărcat abia după prima pornire a dispozitivului. Backdoorul dezactiva și Google Play Protect, sistemul care ar fi semnalat pachetele instalate pe ascuns.
Google arată că programul a evoluat cel puțin de la finalul lui 2024. A pornit ca un simplu program de descărcare și a ajuns o platformă în trei etape: backdoorul, un încărcător și module de monetizare dezvoltate de afiliați. Prin protocolul MQTT, operatorii trimiteau comenzi pentru instalări silențioase de aplicații, comenzi în terminal, capturi de ecran și scanarea rețelei locale. Ars Technica scrie că Google a observat cum Videostrong folosea aceste funcții în timp real.
Modulele transformau aparatele în noduri de proxy rezidențial, adică traficul altor persoane trecea prin conexiunea la internet a victimei. Alte module erau folosite pentru fraudă publicitară sau instalau alte backdooruri. Robert McArdle, director de cercetare a criminalității cibernetice la TrendAI, a declarat pentru The Record că „milioane de gospodării și firme” nu știau că echipamentele lor erau folosite în activități infracționale.
Dimensiunea rețelei, pusă în perspectivă
- Estimarea Google este de peste 1,3 milioane de aparate. Potrivit Ars Technica, Trend Micro a numărat 1.472.554 de dispozitive infectate, cu circa 13% mai multe.
- Google estimează că, prin închiderea domeniilor de comandă și control folosite de afiliați, a tăiat accesul la cel puțin alte 10 milioane de dispozitive. Este de aproape opt ori mărimea rețelei XCPE propriu-zise.
- Cele mai multe infecții au fost în Brazilia, Malaezia, Irak, Mexic și Taiwan. Alte zeci de mii de aparate au fost găsite în SUA, Germania, Marea Britanie, Australia și Canada, scrie Ars Technica.
- Synthient a publicat o listă cu 182 de modele de dispozitive afectate.
Krebs on Security enumeră mai mulți furnizori de proxy rezidențial ale căror kituri software erau descărcate pe aparatele infectate. Printre ei se află AppSalt, cunoscut și ca Honeygain, deținut de Oxylabs. În octombrie 2026, Oxylabs s-a relansat sub numele Source, după o finanțare de 130 de milioane de dolari de la Warburg Pincus. Tranzacția a evaluat compania la 3,6 miliarde de dolari, adică circa 621 de milioane de lei, respectiv aproximativ 17,2 miliarde de lei, la cursul BNR din 3 noiembrie 2026. Un alt furnizor de pe listă este NetNut. În iulie 2026, FBI a confiscat sute de domenii legate de această firmă, pe care a pus-o în legătură cu un alt botnet de TV box-uri, numit Popa.
Ce schimbă Google și ce rămâne pe aparate
Google spune că a modificat procesul de verificare și că îmbunătățește controlul integrității firmware-ului pe dispozitivele Android TV certificate. Charley Snyder, șeful operațiunilor de destructurare din cadrul Google Threat Intelligence Group, a declarat pentru The Record că închiderea domeniilor face malware-ul practic inofensiv. Totuși, Ars Technica precizează că Play Protect rămâne dezactivat pe aparate. Modulele inactive sunt încă instalate ca aplicații de sistem și nu pot fi eliminate ușor. Google nu a spus dacă proprietarii aparatelor afectate vor fi anunțați, notează The Record.
Potrivit Synthient, citată de Krebs on Security, box-urile MECOOL au devenit foarte populare după ce canalul de YouTube Linus Tech Tips, cu aproape 17 milioane de abonați, le-a prezentat în 2023. De atunci, canalul a modificat clipul pentru a prezenta produsul drept o înșelătorie.
Surse:
- Ars Technica – Google dismantles botnet secretly running on 1.3 million Android TV boxes
- The Record from Recorded Future News – Google dismantles massive botnet hidden in Android TV boxes
- Krebs on Security – Tech Firms Dismantle Botnet That Turned 1.3M TV Boxes Into Proxies
- Google Cloud – Shutting the Door on the XCPE Botnet
- connect România – Google anunță destructurarea unui botnet cu peste 1,3 milioane de TV box-uri Android și acuză producătorul de instalarea malware-ului
- BNR – Cursul de referință din 2026-11-03
