شرکت‌های فناوری بات‌نتی را که 1.3 میلیون تلویزیون باکس را به پراکسی تبدیل کرد، از بین می‌برند.

گوگل امروز اعلام کرد که با شرکای صنعتی خود برای از بین بردن یک بات نت متشکل از بیش از 1.3 میلیون ستاپ باکس Android TV که با نرم افزارهای مخربی ارسال می شود که به طور مخفیانه اتصال اینترنت کاربر را به افراد غریبه اجاره می دهد و کلاهبرداری تبلیغاتی را انجام می دهد، همکاری کرده است. کارشناسان درگیر در این حذف می‌گویند این اقدام احتمالا دسترسی بات‌نت به بیش از 10 میلیون سیستم در معرض خطر دیگر، از جمله سایر محصولات اینترنت اشیا (IoT) مانند دستگاه‌های مراقبت بهداشتی مبتنی بر اندروید و ماشین‌های کارائوکه را قطع می‌کند.

گزارشی از Google Threat Intelligence Group (GTIG) حاکی از آن است که گوگل روابط خود را با شرکت Videostrong Technology، یک تولیدکننده جعبه تلویزیون در چین، قطع کرده است که GTIG و سایر کارشناسان صنعت به این نتیجه رسیدند که مسئول گنجاندن بدافزاری است که بیش از 1.3 میلیون ستاپ باکس را در یک بات نت با نام «XCPE» (نام یکی از مؤلفه‌های کد اصلی بدافزار) ثبت کرده است.

توزیع جهانی آلودگی های بات نت XCPE. تصویر: Google Threat Intelligence Group.

در این گزارش آمده است که بات‌نت XCPE دستگاه کاربر را با نرم‌افزاری بارگذاری می‌کند که آدرس اینترنتی آن‌ها را برای فروش مجدد توسط چندین سرویس «پروکسی مسکونی» در دسترس قرار می‌دهد، که به مشتریان اجازه می‌دهد آدرس‌های اینترنتی را به عنوان راهی برای ناشناس کردن ترافیک وب خود یا جعل مکان واقعی خود اجاره کنند. همانطور که در چندین داستان در سال گذشته در اینجا توضیح داده شده است، خدمات پراکسی مسکونی منبع اصلی ترافیک ناخواسته و اغلب مخرب هستند، از جمله فعالیت تصاحب حساب، کلاهبرداری تبلیغاتی، و حذف محتوای انبوه برای پروژه های هوش مصنوعی.

در پست GTIG آمده است: «Videostrong با فروش دسترسی به افراد وابسته به جنایتکار و بارگذاری ماژول‌های بدافزار آن وابسته‌ها در دستگاه‌های آلوده، از درپشتی درآمد کسب کرد» و اشاره می‌کند که گوگل برای حذف دامنه‌ها و سرورهایی که Videostrong برای کنترل بات‌نت و نصب بدافزار اضافی استفاده می‌کرد، اقدام قانونی انجام داد. یک سازنده دستگاه که عمدا کاربران خود را با بدافزار آلوده می‌کند، نقض غیرقابل قبول اعتماد است و خطری جدی برای آن کاربران به همراه دارد.

این گزارش خاطرنشان می‌کند که در حالی که جعبه‌های تلویزیون اکثریت بات‌نت را تشکیل می‌دادند، همان بدافزار XCPE در سایر محصولات اینترنت اشیاء مبتنی بر اندروید، از جمله دستگاه‌های بهداشت از راه دور، ماشین‌های کارائوکه و حتی سیستم‌های علامت دیجیتال یافت شد.

گوگل اعلام کرد که تمام سازندگان دستگاه‌های اندرویدی را ملزم می‌کند تا تست‌های سازگاری و امنیتی را پشت سر بگذارند تا مطمئن شوند محصولاتشان به کاربران آسیبی نمی‌رساند، اما Videostrong با این وجود راهی برای بارگیری نرم‌افزار مخرب خود بلافاصله پس از اینکه کاربر برای اولین بار یکی از این دستگاه‌ها را راه‌اندازی کرد، پیدا کرد (گوگل می‌گوید از آن زمان به این نقطه ضعف رسیدگی کرده است).

گزارش GTIG تعدادی از ارائه دهندگان پروکسی مسکونی را فراخوانی می کند که کیت های توسعه نرم افزار آنها به طور معمول توسط دستگاه های آلوده به بات نت XCPE دانلود می شد. اینها شامل AppSalt است که با نام Honeygain نیز شناخته می شود، که متعلق به شرکت Oxylabs مستقر در لیتوانی ویلنیوس است. در اکتبر 2026، Oxylabs پس از دریافت 130 میلیون دلار سرمایه از شرکت سهام خصوصی Warburg Pincus که طبق گزارش ها ارزش کسب و کار را 3.6 میلیارد دلار ارزیابی می کرد، با نام تجاری جدیدی به نام Source دوباره راه اندازی شد. Oxylabs به درخواست اظهار نظر پاسخ نداد.

یکی دیگر از ارائه‌دهنده‌های مرتبط با بات‌نت، NetNut بود، یک شرکت پراکسی مسکونی که زمانی گسترده بود که توسط شرکت تجاری اسرائیلی Alarum Technologies اداره می‌شد. در ژوئیه 2026، FBI با شرکای صنعتی برای توقیف صدها دامنه مرتبط با NetNut همکاری کرد و گفت که این شرکت مسئول راه اندازی یک بات نت جداگانه به نام Popa است که جعبه های تلویزیون را به عنوان پراکسی های مسکونی به بردگی می کشد. سایر ارائه دهندگان پروکسی که در گزارش GTIG نام برده شده اند عبارتند از EarnFM، Traffmonetizer، Jaguar، LINKFOG، BMW/IPWeb و GaGaNode.

اعلامیه Google به تعدادی از شرکای صنعتی، از جمله Synthient، استارت آپی که ارائه دهندگان پروکسی را ردیابی می کند، اعتبار می دهد. در ژانویه سال 2026، Synthient تحقیقاتی را در مورد گسترش سریع بات‌نت Kimwolf منتشر کرد، که در آن زمان شبکه‌های سراسر جهان را با حملات DDoS بی‌نظیر چکش می‌کرد. Synthient مستند کرد که چگونه Kimwolf میلیون‌ها ست‌تاپ باکس اندروید را تقریبا یک شبه آلوده کرد، با استفاده از یک آسیب‌پذیری گسترده در این سرویس‌های پراکسی مسکونی برای به خطر انداختن دیگر دستگاه‌های مبتنی بر Android در داخل شبکه‌های محلی کاربران جعبه تلویزیون ناآگاه.

تحقیقات Synthient باعث شد ده‌ها ارائه‌دهنده پروکسی مسکونی شبکه‌های خود را اصلاح کنند، که به تقسیم بات‌نت Kimwolf به قطعات بسیار کوچک‌تر کمک کرد که مدیریت حملات DDoS بی‌وقفه و مخرب آن را برای اپراتورهای شبکه بسیار آسان‌تر کرد. همچنین توجه انجمن تصاویر متحرک (MPA) را به خود جلب کرد، یک گروه تجاری نماینده استودیوهای بزرگ هالیوود، که با Synthient برای خرید و پاره کردن تعدادی از ست‌تاپ‌باکس‌های محبوب تلویزیون Android - از جمله برخی که توسط Kimwolf و سایر بات‌نت‌های IoT آلوده شده بودند، شریک شدند.

در گزارشی که امروز منتشر شد، Synthient یک جعبه تلویزیون از قبل آلوده و محبوب را که با نام تجاری MECOOL توسط یک شرکت سهامی عام در چین به نام Skyworth Technology فروخته می‌شد، بررسی کرد و به این نتیجه رسید که MECOOL همچنین بدافزار را از Videostrong Technology Co. و همچنین AppSalt/Honeygain و سایر اجزای پروکسی را نصب کرده است.

ویترین و بازاریابی MECOOL. تصویر: Synthient.com.

بنیانگذار Synthient، Ben Brundage به KrebsOnSecurity گفت که بدافزار Videostrong نرم افزاری را برای سرویس پراکسی Grass نیز توزیع می کند. در داستان نوامبر 2025، «آیا جعبه پخش تلویزیون اندروید شما بخشی از یک بات نت است؟» به نقل از محققی از Censys که دستگاه پخش تلویزیونی محبوب Superbox را به همراه نرم افزار پراکسی مسکونی Grass پیدا کرد. ما همچنین به نقل از بنیانگذار Grass اشاره کردیم که هر گونه وابستگی به سازنده جعبه تلویزیون را رد کرد.

در آن داستان نوامبر 2025 اشاره شد که Superbox و ست‌تاپ باکس‌های Android TV مشابه، مشتریان جدیدی را عمدتا با جذب تأثیرگذاران در Tiktok و سایر شبکه‌های اجتماعی به دست می‌آورند که توانایی محصول را برای ارائه صدها سرویس پخش تلویزیون پولی (دزدان دریایی) با هزینه یک‌باره تحسین می‌کنند.

به همین ترتیب، گزارش Synthient مشاهده می‌کند که ست‌اپ باکس‌های MECOOL پس از تایید این محصول در سال 2023 توسط کانال یوتیوب Linux Tech Tips که نزدیک به 17 میلیون مشترک دارد، محبوبیت زیادی پیدا کرد.

کانال محبوب یوتیوب Linus Tech Tips که در مورد جعبه های پخش تلویزیون MECOOL بحث می کند.

گزارش GTIG تخمین می‌زند که حذف بات‌نت XCPE باید دسترسی به حداقل 10 میلیون دستگاه در معرض خطر دیگر را قطع کند، و اشاره می‌کند که پروکسی‌های مختلف و شعبه‌های کلاهبرداری تبلیغاتی Videostrong "هر کدام کانال‌های توزیع متنوعی برای ماژول‌های خود فراتر از XCPE دارند."

Synthient's Brundage این نتیجه را تکرار کرد و عدد 1.3 میلیون را "بسیار محافظه کارانه" خواند.

او گفت: «مقیاس دستگاه‌های آسیب‌دیده احتمالا بسیار بیشتر است. این احتمالا بزرگترین عملیاتی است که ما شاهد آن علیه جعبه‌های تلویزیونی پشت درب پشتی بوده‌ایم.»

مطالعه بیشتر:

کاغذ سفید Plume Security Labs در بات نت XCPE (PDF)

نگارش Black Lotus Labs در لینکدین

تحلیل TrendAI

فهرست Synthient از دستگاه‌های آسیب‌دیده، به تفکیک شماره مدل