گوگل شبکه بات‌نت (Botnet) موسوم به XCPE را که شامل بیش از ۱.۳ میلیون باکس استریم اندروید تی‌وی (Android TV) بود مختل کرد و شرکت چینی ویدئواسترانگ تکنولوژی (Videostrong Technology Co.) را از تولید دستگاه‌های دارای گواهی اندروید منع کرد. این اقدام بر اساس گزارش روز دوشنبه گروه اطلاعات تهدید گوگل (Google Threat Intelligence Group یا GTIG) انجام شده است. گوگل می‌گوید ویدئواسترانگ به‌طور عامدانه بک‌دور (Backdoor) را در دستگاه‌های تولیدی خود تعبیه کرده و دسترسی به آن را به همکاران مجرمانه فروخته است.
لغو مجوز ویدئواسترانگ و تغییر فرایند تأیید
گوگل رابطه خود با ویدئواسترانگ را پایان داده و مجوز این شرکت برای تولید دستگاه‌های اندروید تی‌وی با اپلیکیشن‌ها و سرویس‌های پیش‌نصب‌شده گوگل را لغو کرده است. این ممنوعیت به همکاران آینده این شرکت نیز گسترش می‌یابد؛ آن‌ها نمی‌توانند دستگاه‌های دارای گواهی اندروید تولید کنند یا نرم‌افزار به فروشندگان دارای گواهی عرضه کنند. گوگل اعلام کرد فرایند بازبینی گواهی خود را پس از کشف این موضوع تغییر داده است که ویدئواسترانگ با استفاده از مبهم‌سازی (Obfuscation) تست‌های امنیتی را دور می‌زده و کد مخرب را تنها پس از نخستین بوت دستگاه بارگذاری می‌کرده است.
بک‌دور از کارخانه، نه از آسیب‌پذیری
XCPE از طریق یک آسیب‌پذیری یا دانلود مخرب وارد دستگاه‌ها نشده است. این بدافزار که با نام‌های x.cpe و com.oemservice ردیابی می‌شود، از کارخانه در فریم‌ور (Firmware) قرار داشت و با دسترسی‌های سطح سیستم اندروید اجرا می‌شد. اپراتورها می‌توانستند از آن برای موارد زیر استفاده کنند:
- دانلود و نصب بی‌صدای اپلیکیشن‌های اندرویدی اضافی
- غیرفعال‌سازی گوگل پلی پروتکت (Google Play Protect)
- اجرای فرمان‌ها و اسکریپت‌های شل (Shell) با دسترسی‌های سیستم
- گرفتن اسکرین‌شات و تزریق ضربه‌های کلید
- جمع‌آوری اطلاعات حساب، جزئیات دستگاه، فهرست اپلیکیشن‌های نصب‌شده و گزارش‌های سیستم
بر اساس گزارش، همکاران مجرمانه از این باکس‌ها برای تقلب تبلیغاتی استفاده می‌کردند، نرم‌افزار پروکسی مسکونی اجرا می‌کردند که ترافیک شخص ثالث را بدون رضایت از طریق اتصال مالکان مسیریابی می‌کرد و بک‌دورهای دیگری با نام‌های Moyu، Spirit و Bird نصب می‌کردند.
پیامدها برای کاربران باکس‌های آلوده
گوگل می‌گوید این اقدام عملیات XCPE را مختل کرده، اما بدافزار را از باکس‌های آلوده حذف نکرده است. بک‌دور هنگام حذف، خود را از پارتیشن /oem/ دوباره نصب می‌کند؛ بنابراین حذف اپلیکیشن‌های مخرب به‌تنهایی دستگاه را پاک نمی‌کند. مالکان باکس‌های آسیب‌دیده دو گزینه دارند:
- نصب فریم‌ور تمیز روی باکس برای حذف آلودگی
- قطع اتصال باکس از اینترنت برای توقف فعالیت مخرب بیشتر در صورت نبود فریم‌ور تمیز
گوگل می‌گوید ویدئواسترانگ بدافزار را در طول چند سال در برندها و مدل‌های مختلف دستگاه قرار داده است، اما این شرکت فهرست کامل محصولات آسیب‌دیده را فراتر از باکس MECOOL KM9PRO Max که توسط Synthient شناسایی شد منتشر نکرده است. در این عملیات، آژانس پلیس ملی ژاپن همراه با شرکت‌های امنیتی Lumen، HUMAN Security، Plume، Synthient و TrendAI مشارکت داشتند. Synthient پس از یافتن بک‌دور به‌صورت پیش‌نصب روی یک باکس MECOOL KM9PRO Max اندروید تی‌وی که در اواخر ۲۰۲۵ خریداری شده بود، آن را به ویدئواسترانگ ردیابی کرد و پژوهشگران دریافتند نشانی‌های ایمیل شرکت ویدئواسترانگ برای امضای بک‌دورها استفاده شده است.