Google triệt phá botnet XCPE lây nhiễm 1,3 triệu hộp Android TV

Google hôm nay thông báo rằng họ đã phối hợp với các đối tác trong ngành để triệt phá một botnet quy mô lớn gồm hơn 1,3 triệu hộp set-top Android TV. Chiến dịch nhắm vào các thiết bị do Videostrong Technology Co. sản xuất, vốn được cài đặt sẵn phần mềm độc hại bí mật cho thuê kết nối internet của người dùng. Hành động này dự kiến sẽ cắt đứt quyền truy cập vào hơn 10 triệu hệ thống bị xâm nhập khác thuộc nhiều danh mục Internet of Things (IoT).

Chuyện gì đã xảy ra

Nhóm Tình báo Mối đe dọa Google (GTIG) xác định Videostrong Technology Co., một nhà sản xuất Trung Quốc, là chủ thể chính đứng sau botnet có tên "XCPE". Tên gọi này bắt nguồn từ một thành phần cốt lõi của phần mềm độc hại được nhúng trong các thiết bị. GTIG kết luận rằng Videostrong đã cố ý đưa phần mềm độc hại này vào phần cứng của mình, cho phép công ty kiếm tiền bằng cách bán quyền truy cập cửa hậu (backdoor) cho các chi nhánh tội phạm. Các chi nhánh này sau đó tải các mô-đun phần mềm độc hại riêng lên các thiết bị bị nhiễm mà không có sự đồng ý hoặc hiểu biết của người dùng.

Mặc dù hộp Android TV chiếm đa số trong các trường hợp nhiễm bệnh, phần mềm độc hại XCPE cũng được phát hiện trong các sản phẩm IoT dựa trên Android khác. Bao gồm các thiết bị telehealth (y tế từ xa), máy karaoke và hệ thống biển báo kỹ thuật số. Google tuyên bố rằng mặc dù họ yêu cầu tất cả nhà sản xuất thiết bị Android phải vượt qua các bài kiểm tra tương thích và bảo mật, Videostrong đã quản lý để tải phần mềm độc hại ngay khi thiết bị khởi động lần đầu tiên. Google lưu ý rằng họ đã khắc phục điểm yếu cụ thể cho phép vector lây nhiễm ban đầu này.

Để thực hiện việc triệt phá, Google đã tiến hành hành động pháp lý để tịch thu các tên miền và máy chủ mà Videostrong sử dụng để điều khiển botnet và phân phối thêm phần mềm độc hại. Báo cáo nhấn mạnh rằng đây không phải là một sự cố đơn lẻ mà là một phần của hệ sinh thái rộng lớn hơn, nơi các nhà sản xuất thiết bị đánh đổi niềm tin của người dùng để trục lợi. Quy mô của chiến dịch rất đáng kể, với các chuyên gia mô tả đây có khả năng là hành động lớn nhất từng được thực hiện chống lại các hộp TV bị cài cửa hậu.

Cách thức hoạt động

Botnet XCPE hoạt động bằng cách biến các thiết bị bị nhiễm thành các nút cho dịch vụ proxy dân dụng. Một khi thiết bị bị xâm nhập, nó sẽ cài đặt phần mềm làm cho địa chỉ IP của người dùng có sẵn để bán lại. Dịch vụ proxy dân dụng cho phép khách hàng thuê các địa chỉ IP này để ẩn danh hóa lưu lượng web hoặc giả mạo vị trí địa lý của họ. Cơ sở hạ tầng này thường xuyên được sử dụng cho gian lận quảng cáo, chiếm đoạt tài khoản và thu thập nội dung hàng loạt cho các dự án trí tuệ nhân tạo.

Phần mềm độc hại đã tải xuống bộ công cụ phát triển phần mềm (SDK) từ một số nhà cung cấp proxy dân dụng trực tiếp lên các thiết bị bị nhiễm. Các nhà cung cấp này bao gồm AppSalt (còn được gọi là Honeygain), thuộc sở hữu của Oxylabs, cũng như NetNut, EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb và GaGaNode. Một số công ty trong số này đã phải đối mặt với sự giám sát gần đây; ví dụ, FBI đã tịch thu hàng trăm tên miền liên quan đến NetNut vào tháng 7 năm 2026 do involvement của công ty này trong một botnet riêng biệt có tên Popa.

Việc phân phối các thiết bị bị nhiễm thường dựa vào ảnh hưởng trên mạng xã hội. Các thương hiệu như MECOOL và Superbox trở nên phổ biến nhờ các lời chứng thực trên các nền tảng như TikTok và YouTube, nơi những người có ảnh hưởng quảng bá khả năng cung cấp dịch vụ phát trực tuyến lậu với phí một lần. Ví dụ, MECOOL đã chứng kiến sự tăng vọt về doanh số sau khi được kênh YouTube Linus Tech Tips nhắc đến vào năm 2023, mặc dù kênh này sau đó đã cập nhật nội dung để gắn nhãn sản phẩm là lừa đảo và xóa các liên kết affiliate.

Chi tiết chính

• Hơn 1,3 triệu hộp set-top Android TV đã được xác nhận là một phần của botnet XCPE.
• Việc triệt phá dự kiến sẽ cắt đứt quyền truy cập vào hơn 10 triệu thiết bị IoT bị xâm nhập bổ sung.
• Videostrong Technology Co. được xác định là nhà sản xuất chịu trách nhiệm cài đặt sẵn phần mềm độc hại.
• Các thiết bị bị nhiễm được sử dụng để hỗ trợ các dịch vụ proxy dân dụng bao gồm AppSalt, NetNut và Grass.
• Phần mềm độc hại cũng ảnh hưởng đến các thiết bị y tế dựa trên Android, máy karaoke và biển báo kỹ thuật số.
• Google đã vá lỗ hổng cho phép phần mềm độc hại tải lên trong quá trình khởi động thiết bị ban đầu.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và lãnh đạo cơ sở hạ tầng, sự cố này nhấn mạnh những rủi ro vốn có trong chuỗi cung ứng phần cứng tiêu dùng. Khi các nhà sản xuất cố ý xâm phạm thiết bị, nó tạo ra một mối đe dọa dai dẳng khó phát hiện và giảm thiểu chỉ từ phía phần mềm. Việc sử dụng các thiết bị này cho proxy dân dụng có nghĩa là lưu lượng hợp pháp từ ứng dụng của bạn có thể bị trộn lẫn với hoạt động gian lận, làm phức tạp nỗ lực phát hiện gian lận và giám sát bảo mật.

Hơn nữa, sự phụ thuộc vào proxy dân dụng cho việc thu thập dữ liệu AI và gian lận quảng cáo làm nổi bật một thách thức ngày càng tăng đối với các dịch vụ kỹ thuật số. Khi các dự án AI đòi hỏi khối lượng dữ liệu khổng lồ, nhu cầu về quyền truy cập ẩn danh ở cấp độ dân dụng tăng lên. Điều này thúc đẩy thị trường cho các botnet như XCPE, tạo ra một vòng phản hồi nơi các thiết bị IoT bị xâm nhập trở thành hàng hóa có giá trị cho các doanh nghiệp tội phạm. Hiểu rõ động lực này là rất quan trọng để xây dựng các cơ chế phòng thủ vững chắc chống lại lạm dụng tự động.

Bạn có thể làm gì

• Kiểm toán lưu lượng mạng của bạn để tìm các mẫu bất thường có thể chỉ ra việc sử dụng proxy dân dụng.
• Xem xét các thực hành bảo mật của nhà cung cấp khi mua sắm phần cứng IoT cho doanh nghiệp hoặc người tiêu dùng.
• Triển khai các giao thức xác thực thiết bị nghiêm ngặt để ngăn chặn các thiết bị trái phép tham gia mạng của bạn.
• Giám sát các chỉ báo xâm nhập liên quan đến các SDK proxy đã biết như AppSalt hoặc Honeygain.
• Giáo dục người dùng về rủi ro khi mua các thiết bị phát trực tuyến không chính thức hứa hẹn nội dung cao cấp miễn phí.
• Cập nhật các báo cáo tình báo mối đe dọa từ các nhóm như GTIG và Synthient để xác định các botnet mới nổi.