Peste 1,3 milioane de dispozitive Android, infectate printr-o portiță ascunsă în televizoare și proiectoare. Producătorul, acuzat că a instalat-o intenționat

O rețea informatică formată din peste 1,3 milioane de dispozitive cu Android a fost destructurată în urma unei operațiuni la care au participat companii de securitate cibernetică și Agenția Națională de Poliție din Japonia. Printre echipamentele infectate se numără TV Box-uri și proiectoare conectate la internet, comercializate cu o portiță ascunsă direct în firmware.

Google susține că producătorul chinez Videostrong Technology a instalat intenționat această componentă software, cunoscută sub numele XCPE, și a oferit acces la ea unor grupări infracționale. Dispozitivele ajungeau la cumpărători fără ca aceștia să știe că aparatele puteau fi controlate de la distanță și folosite pentru activități ilegale prin intermediul conexiunii lor la internet, informează The Register.

Cum au ajuns peste 1,3 milioane de dispozitive într-o rețea controlată de hackeri

Operațiunea a fost realizată de o coaliție din care au făcut parte Google, Lumen, Human Security, Plume, Synthient și TrendAI, în colaborare cu autoritățile japoneze. Investigația a vizat XCPE, o componentă de tip backdoor folosită pentru infectarea dispozitivelor Android și integrarea lor într-o rețea botnet.

Potrivit Google Threat Intelligence Group, există un grad ridicat de încredere că Videostrong Technology, companie cu sediul în Shenzhen, China, a dezvoltat și operat intenționat această infrastructură pentru a obține câștiguri financiare. Producătorul comercializează echipamente Android, inclusiv dispozitive TV Box și proiectoare.

Problema era prezentă încă din firmware, software-ul instalat pe dispozitiv înainte ca acesta să ajungă la cumpărător. Astfel, conectarea aparatului la rețeaua de acasă putea activa accesul de la distanță fără ca proprietarul să observe ceva neobișnuit.

Google afirmă că Videostrong ar fi vândut accesul la această infrastructură unor afiliați din mediul infracțional, care puteau instala module malware suplimentare pe echipamentele compromise.

TV Box-urile puteau fi controlate de la distanță fără știrea proprietarilor

Un agent de administrare instalat în firmware părea să fie un instrument obișnuit pentru gestionarea dispozitivelor de la distanță. În realitate, acesta permitea operatorilor să controleze echipamentele prin intermediul unui server MQTT (Message Queuing Telemetry Transport).

Vezi și:

Google pregătește o schimbare importantă pentru Android și iPhone. Transferul fotografiilor și videoclipurilor va deveni mai simplu, direct din aplicații

Un dezvoltator a transformat un Microsoft Surface Duo într-un iPhone cu două ecrane. Cum a instalat iOS 26

Conexiunea le oferea posibilitatea să instaleze sau să dezinstaleze aplicații, să modifice setările și să trimită actualizări către dispozitivele infectate. Agentul descărca actualizări de pe o pagină GitHub, ceea ce putea face activitatea sa să pară una legitimă.

Potrivit TrendAI, între 3 iunie și 1 octombrie au fost identificate peste 3,8 milioane de adrese IP distincte, fixe și mobile, asociate operațiunii. Numărul este mai mare decât cel al dispozitivelor estimate în rețeaua XCPE, deoarece un singur echipament se poate conecta la internet prin mai multe adrese IP în timp.

Odată compromise, dispozitivele puteau fi transformate în noduri ale unor rețele proxy. Mai exact, infractorii foloseau conexiunile la internet ale proprietarilor pentru a redirecționa trafic și a-și ascunde propriile activități. Astfel, acțiunile malițioase puteau părea că provin de la gospodării obișnuite, nu de la infrastructura atacatorilor.

Google a întrerupt colaborarea cu producătorul chinez

Operațiunea de destructurare a inclus și dezactivarea domeniilor de comandă și control (C2), folosite pentru administrarea modulelor distribuite prin intermediul afiliaților. Google estimează că această măsură ar putea întrerupe accesul la cel puțin alte 10 milioane de dispozitive compromise.

Aceste echipamente ar fi fost conectate la infrastructura afiliaților prin canale de distribuție diferite de XCPE, ceea ce înseamnă că amenințarea nu se limita la rețeaua identificată inițial.

Google a anunțat, de asemenea, că a întrerupt legăturile cu Videostrong și a interzis companiei să mai producă dispozitive cu aplicații Google preinstalate.

Investigația arată că XCPE este conectat la același ecosistem infracțional din care face parte și BadBox 2.0, o altă rețea botnet de amploare. Aceasta a infectat peste 10 milioane de TV Box-uri și alte dispozitive înainte ca Google, Human Security și TrendAI să contribuie la întreruperea operațiunii, în martie 2025.

Google dă lovitura cu Gemini 4 Carbon. Noul AI se apropie de Claude și depășește GPT-6 Astra, dar adevărata surpriză este prețul