Investigație Google: peste 1,3 milioane de dispozitive Android TV virusate chiar de producător

Rețeaua, identificată sub numele XCPE sau x.cpe, a fost destructurată în urma unei operațiuni la care au participat Google, companii de securitate cibernetică și autorități din Japonia. 

Potrivit Google Threat Intelligence Group, dispozitivele infectate erau folosite fără știrea proprietarilor pentru fraudă publicitară, furt de date și redirecționarea traficului de internet prin conexiunile utilizatorilor.

Cum a fost identificată rețeaua de dispozitive infectate 

Potrivit investigației publicate de Google pe 2 noiembrie 2026, programul malware XCPE era integrat în software-ul mai multor modele de dispozitive fabricate de Videostrong Technology, companie cu sediul în China. 

Cele mai multe dintre echipamentele afectate erau dispozitive Android TV de tip set-top box, însă cercetătorii au identificat și alte aparate conectate la internet, precum sisteme pentru telemedicină, echipamente karaoke și panouri digitale de afișaj.

Google estimează că peste 1,3 milioane de dispozitive au fost înscrise în botnet, o rețea de aparate infectate care pot fi controlate de la distanță. Compania de securitate TrendAI a identificat un număr chiar mai mare, de aproximativ 1,47 milioane de dispozitive.

Un aspect important al cazului este că malware-ul nu ar fi fost instalat de utilizatori prin descărcarea unei aplicații suspecte. Codul periculos era introdus în software-ul dispozitivelor în etapa de fabricație, astfel încât aparatele puteau ajunge deja compromise în locuințele cumpărătorilor.

Google acuză producătorul că a instalat intenționat virusul

Potrivit Google, producătorul ar fi vândut accesul la dispozitivele infectate unor afiliați din zona criminalității informatice, care puteau încărca propriile module malware.

Google afirmă că software-ul a fost integrat pe parcursul mai multor ani, iar infrastructura folosită pentru administrarea rețelei era actualizată constant pentru a evita detectarea.

Videostrong nu a oferit, potrivit relatărilor publicate de presa de specialitate, un răspuns la acuzațiile formulate de Google.

Ce puteau face hackerii prin intermediul televizoarelor

Odată conectate la internet, dispozitivele infectate puteau deveni puncte de acces controlate de la distanță. Operatorii rețelei puteau instala alte programe, executa comenzi și folosi conexiunea la internet a proprietarilor fără ca aceștia să știe.

Una dintre metodele de monetizare era transformarea aparatelor în noduri pentru rețele de proxy rezidențial. Astfel, activitatea online putea părea că provine de la adresa IP a utilizatorului care deținea televizorul sau TV Box-ul. Este o metodă folosită pentru ascunderea identității celor care desfășoară activități ilegale.

Cum a reușit malware-ul să treacă de verificările Google

Cazul ridică semne de întrebare și în privința procesului de certificare Android. Unele dintre dispozitivele afectate erau certificate de Google, ceea ce înseamnă că trecuseră prin procedurile de compatibilitate și securitate.

Google explică faptul că Videostrong ar fi folosit tehnici prin care codul malițios este mai greu de identificat. Aceste tehnici ar fi permis încărcarea programului periculos după prima pornire a dispozitivului, evitând astfel o parte dintre verificările efectuate înainte ca aparatul să ajungă la cumpărător.

Mai mult, programul putea dezactiva Google Play Protect, sistemul care verifică aplicațiile pentru a identifica eventuale amenințări. Fiind integrat la nivel de sistem, malware-ul nu putea fi eliminat cu ușurință prin simpla dezinstalare a unei aplicații din meniul televizorului.

Google a anunțat că își modifică procedurile de verificare pentru a controla mai atent integritatea firmware-ului dispozitivelor Android TV certificate.

Google a blocat infrastructura rețelei și a rupt legăturile cu producătorul

Pentru destructurarea botnetului XCPE, Google a colaborat cu Agenția Națională de Poliție din Japonia și cu mai multe companii de securitate cibernetică.

Compania a obținut măsuri legale pentru închiderea domeniilor și serverelor folosite de Videostrong pentru controlarea dispozitivelor și instalarea modulelor malițioase. 

Google estimează că blocarea acestor domenii ar putea întrerupe accesul atacatorilor la cel puțin alte 10 milioane de dispozitive compromise, care includ și dispozitivele asociate unor rețele și module malware controlate de afiliați.

Totodată, Google a anunțat că a întrerupt relația cu Videostrong și că producătorul, inclusiv eventualele sale filiale, nu va mai putea fabrica dispozitive Android certificate cu aplicații Google preinstalate sau furniza software altor producători certificați.

Ce trebuie să facă proprietarii de televizoare Android

Google susține că întreruperea comunicării cu serverele atacatorilor face ca programele să nu mai poată fi controlate în același mod, însă unele componente pot rămâne instalate.

Cercetătorii de la Synthient au publicat o listă cu 182 de modele de dispozitive asociate campaniei. Proprietarii unor TV Box-uri MECOOL sau ai unor aparate Android TV fără o marcă bine cunoscută pot verifica dacă modelul lor apare în această listă. Prezența unui model pe listă nu confirmă automat că fiecare aparat din acel model este infectat.