گوگل بات نت بدافزار اندرویدی XCPE میلیون دستگاه را مختل کرد و سازنده جعبه تلویزیون را ممنوع کرد
Google و شرکای صنعتی، بات‌نت بدافزار XCPE متشکل از بیش از 1.3 میلیون جعبه تلویزیون استریم Android TV را که گوگل می‌گوید سازنده آن عمدا به بدافزار آلوده کرده است، از بین برده‌اند تا از طریق فعالیت‌های جرایم سایبری درآمدزایی کند. [...]
گوگل و شرکای صنعتی، بات نت بدافزار XCPE متشکل از بیش از 1.3 میلیون جعبه تلویزیون استریم تلویزیون اندروید را که گوگل می گوید سازنده آن عمدا به بدافزار آلوده کرده تا از طریق فعالیت های جرایم سایبری درآمدزایی کند، از بین برده اند.
این شرکت بات‌نت را با اطمینان بالا به شرکت سازنده دستگاه‌های چینی Videostrong Technology Co نسبت می‌دهد و این شرکت را به نصب عمدی یک درب پشتی دائمی در دستگاه‌هایی که تولید می‌کند و فروش دسترسی به شرکت‌های مجرم متهم می‌کند.
این شرکت‌های وابسته از دستگاه‌های درپشتی برای استقرار ماژول‌های مخربی استفاده کردند که از کلاهبرداری تبلیغاتی استفاده می‌کردند، دستگاه‌های آلوده را به پراکسی‌های مسکونی تبدیل کردند و بدافزار اضافی را نصب کردند.
به عنوان بخشی از این اختلال، گوگل می‌گوید سرورهای XCPE فرمان و کنترل (C2) را که توسط بیش از دوجین خانواده بدافزار مرتبط استفاده می‌شد، حذف کرد و دسترسی به حداقل 10 میلیون دستگاه دیگر را قطع کرد.
این دستگاه‌های اضافی از طریق بدافزار توزیع شده از طریق ابزارهای دیگری غیر از XCPE به خطر افتادند و شامل جعبه‌های ست‌اپ باکس خرده‌فروشی، ماشین‌های کارائوکه و سخت‌افزار بهداشت از راه دور هستند. گوگل می گوید که همه آنها دستگاه های اندرویدی نیستند.
گوگل همچنین رابطه خود را با Videostrong خاتمه داد، مجوز ساخت دستگاه‌های Android TV با برنامه‌ها و سرویس‌های از پیش بارگذاری‌شده Google را لغو کرد، و شرکت و شرکت‌های وابسته آینده‌اش را از تولید دستگاه‌های Android تایید شده یا ارائه نرم‌افزار به فروشندگان معتبر منع کرد.
گروه اطلاعاتی تهدید گوگل (GTIG) در گزارشی که روز دوشنبه منتشر شد، گفت: «ما با اطمینان بالا ارزیابی می‌کنیم که درب پشتی و بات‌نت عمدا برای منافع مالی توسط شرکت فناوری ویدیوسترانگ توسعه، مستقر و به کار گرفته شده‌اند.
گوگل می‌گوید این اختلال شامل آژانس پلیس ملی ژاپن و شرکت‌های امنیتی Lumen، HUMAN Security، Plume، Synthient و TrendAI می‌شود که برای تجزیه و تحلیل زیرساخت‌های مخرب و اختلال در عملیات آن هماهنگ شده‌اند.
برخلاف سایر بات‌نت‌ها که معمولا دستگاه‌ها را از طریق آسیب‌پذیری‌ها یا فریب دادن کاربران به نصب بدافزارها نقض می‌کنند، بات‌نت XCPE در حین ساخت مستقیما در میان‌افزار دستگاه تعبیه شد.
گوگل می‌گوید Videostrong سال‌ها در حال توسعه و توزیع بدافزار در برندها و مدل‌های مختلف دستگاه بوده و قابلیت‌های آن را برای فرار از شناسایی و پشتیبانی از گروه‌های وابسته مختلف مجرم توسعه داده است.
گوگل می‌گوید: «ما این نرم‌افزار مخرب را یافتیم که به‌طور مستقیم در مدل‌ها و برندهای مختلف دستگاه در طول چندین سال ساخته شده است، که توسط زیرساخت‌های اختصاصی و پیکربندی‌های دائما در حال تغییر برای فرار از شناسایی و مدیریت شرکت‌های وابسته پشتیبانی می‌شود.»
مؤلفه اصلی درب پشتی، که به عنوان x.cpe و com.oemservice ردیابی می شود، با امتیازات سطح سیستم Android اجرا می شود.
این بدافزار از معماری ماژولار استفاده می کند که عملکردهای درپشتی خود را از ماژول هایی که برای درآمدزایی برای شرکت های وابسته طراحی شده اند جدا می کند.
پس از راه اندازی یک دستگاه آلوده، XCPE با یک سرور فرمان و کنترل در دامنه anyevonline[.]com تماس می گیرد تا اطلاعات اتصال و اعتبار یک کارگزار پیام MQTT را به دست آورد، که سپس برای دریافت دستورات استفاده می شود.
گوگل می گوید این بدافزار از زیر دامنه های مختلفی از anyevonline[.]com بسته به نسخه اندروید و نوع دستگاه استفاده می کند. کارگزار MQTT، که در mqtt.szbboys[.]com میزبانی می شد، به اپراتورها اجازه می داد دستورات ارسال کنند و بدافزارهای دیگر را برای دستگاه های آلوده مستقر کنند.
از طریق این اتصال، اپراتورها می توانند دستگاه های در معرض خطر را از راه دور کنترل کنند و اقدامات مخربی مانند:
این دستگاه ها همچنین برای درآمدزایی با نصب ماژول های بدافزار متعلق به اپراتورهای دیگر مورد استفاده قرار گرفتند و درب پشتی را به پلت فرم جرایم سایبری پلاگین برای سایر مجرمان سایبری تبدیل کردند.
به گفته گوگل، این ماژول‌ها شامل نرم‌افزار مرتبط با سرویس‌های پراکسی مسکونی مانند Linkfog، AppSalt/Honeygain، GaGaNode، NetNut و Traffmonetizer بودند که برای هدایت ترافیک اینترنت شخص ثالث از طریق دستگاه‌های آلوده بدون اطلاع یا رضایت صاحبانشان استفاده می‌شد.
ماژول های دیگر با ایجاد نمایش تبلیغات، بارگیری صفحات وب پنهان و کلیک کردن بر روی تبلیغات، مرتکب تقلب در تبلیغات شدند. برخی از ماژول ها درهای پشتی دیگری از جمله Moyu، Spirit و Bird را برای دانلود و اجرای بدافزارهای دیگر نصب کردند.
گوگل می گوید که اپراتورهای بات نت به طور مداوم معماری بدافزار را تغییر می دهند تا از شناسایی جلوگیری کنند.
در اواخر سال 2024، Videostrong شروع به استفاده از یک لودر جداگانه به نام com.abc.nexus کرد که ماژول های مخرب را اجرا می کرد در حالی که XCPE بر ارتباطات با زیرساخت C2 تمرکز داشت.
از آگوست 2026، اپراتورها شروع به جایگزینی آن لودر با قطره چکان های کوچکتر و تخصصی کردند که به عنوان برنامه های سیستم اندروید پنهان شده بودند.
در یک گزارش هماهنگ جداگانه، شرکت امنیت سایبری Synthient توضیح می‌دهد که چگونه پس از کشف بدافزار از پیش نصب شده روی جعبه تلویزیون اندروید MECOOL KM9PRO Max که در اواخر سال 2025 خریداری شد، درب پشتی و زیرساخت XCPE را به Videostrong ردیابی کرد.
در طی تحقیقات خود، Synthient یک دایرکتوری در دسترس عموم را در سرور file.anyevonline[.]com این بدافزار پیدا کرد که میزبان درهای پشتی مورد استفاده اپراتورها بود. دایرکتوری باز همچنین شامل یک پوشه PDF حاوی یک PDF از Owen Cao، مدیر تحقیق و توسعه Videostrong Technology Co.
محققان همچنین دریافتند که دامنه videostrong[.]cn Videostrong به همان آدرس IP mqtt.anyevonline[.]com اشاره می‌کند، سرور فرمان و کنترلی که به اپراتورها اجازه می‌دهد دستگاه‌های در معرض خطر را فهرست کنند، دستورات را خارج کنند و نصب‌های برنامه را مدیریت کنند.
علاوه بر این، Synthient کشف کرد که چندین آدرس ایمیل شرکت Videostrong برای امضای درهای پشتی استفاده شده است.
گوگل می‌گوید شواهد نشان می‌دهد که سازنده عمدا بدافزار را نصب کرده است نه یک کارمند سرکش یا یک نظارت بر توسعه.
گوگل گفت: "ما معتقدیم که این کمپین یک خودی سرکش منزوی یا یک نظارت بر توسعه نبود."
گوگل همچنین می‌گوید پس از کشف اینکه Videostrong از تکنیک‌های مبهم‌سازی برای فرار از تست امنیتی و بارگذاری کدهای مخرب پس از بوت شدن دستگاه‌ها استفاده می‌کند، روند بررسی گواهینامه خود را تغییر داده است.
در حالی که گوگل می‌گوید حذف عملیات XCPE را مختل کرده است، این بدافزار در دستگاه‌های آلوده حذف نشده است و در صورت حذف به‌طور خودکار از پارتیشن /oem/ دوباره نصب می‌شود.
در نتیجه، کاربران باید برای حذف عفونت یا قطع اتصال دستگاه آسیب‌دیده از اینترنت برای جلوگیری از فعالیت‌های مخرب بیشتر، سیستم عامل تمیز را نصب کنند.
BleepingComputer با Google تماس گرفته است و سؤالات بیشتری در مورد بات نت دارد و در صورت دریافت پاسخ، داستان را به روز می کند.
عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.
با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، ببینید چه چیزی به دست می‌آید.
تلفن های اندرویدی ارزان قیمت با بدافزار پراکسی مسکونی عرضه می شوند
بدافزار اندروید Hirudo جایگزین برنامه های بانکی برای فرار از بررسی های امنیتی می شود
هکرها از تبلیغات گوگل سوء استفاده می کنند، بینگ برای فشار دادن به حملات Claude ClickFix تغییر مسیر می دهد
بدافزار جدید Carbonato از عوامل هوش مصنوعی برای ربودن میزبان های Docker در معرض استفاده می کند
بدافزار جدید بانکی اندروید RemControl کاربران اروپا و کانادا را هدف قرار می دهد
متن اصلی (انگلیسی)
Google disrupts million-device XCPE Android malware botnet, bans TV box maker
Google and industry partners have dismantled the XCPE malware botnet consisting of more than 1.3 million Android TV streaming TV boxes that Google says its manufacturer intentionally infected with malware to generate revenue through cybercrime activities. [...]