Google destructurează XCPE, rețeaua de 1,3 milioane de TV box-uri Android infectate chiar de producător: ce făceau cutiile, cum verifici dacă a ta e certificată și ce faci dacă bănuiești că e infectată

Google a anunțat că a destructurat XCPE, o rețea de dispozitive infectate formată din peste 1,3 milioane de TV box-uri Android, din peste 200 de țări. Neobișnuit e cine a infectat cutiile: potrivit Google, chiar producătorul lor, compania chineză Videostrong Technology, din Shenzhen, care a pus programul de acces ascuns direct în firmware, înainte ca dispozitivele să ajungă în magazine. Accesul la cutii era apoi vândut altor infractori.

Google spune că are un grad mare de încredere în această atribuire și că nu e vorba de un angajat rău-intenționat sau de o greșeală de programare. Compania a rupt colaborarea cu Videostrong și i-a interzis, ei și viitoarelor firme afiliate, să mai producă dispozitive Android certificate. Problema e că programul rău-intenționat rămâne pe cutiile deja vândute.

Pe scurt

Ce făceau cutiile infectate

Programul ascuns rula cu drepturi de sistem, adică la cel mai înalt nivel din Android. Cei care îl controlau puteau instala aplicații fără ca utilizatorul să observe, opri Google Play Protect, protecția antivirus integrată în Android, rula comenzi, face capturi de ecran, simula apăsări de taste și strânge date despre dispozitiv și despre conturile de pe el.

Videostrong vindea accesul la cutii altor grupări, care își încărcau propriile module. Modulele aduceau bani în trei feluri:

• Proxy rezidențial: conexiunea ta la internet era închiriată altora, care navigau prin ea ca să pară utilizatori obișnuiți din casa ta. Dacă cineva făcea fraude sau atacuri pe această cale, urmele puteau duce la adresa ta IP.
• Fraudă cu reclame: cutia încărca pagini ascunse și dădea click pe reclame, în fundal.
• Alte programe rău-intenționate: unele module instalau uși de acces suplimentare, prin care se puteau descărca și alte programe.

Din august, operatorii au început să înlocuiască vechiul program de încărcare cu altele mai mici, deghizate în aplicații de sistem Android. Google spune că Videostrong a folosit tehnici de ascundere a codului ca să treacă de testele de certificare: codul rău-intenționat se încărca abia după prima pornire a dispozitivului.

Ce a făcut Google

Google a lucrat cu Poliția Națională a Japoniei și cu firmele de securitate Lumen, HUMAN Security, Plume, Synthient și TrendAI. Pe lângă interzicerea Videostrong, compania a cerut pe cale legală închiderea serverelor de control ale rețelei și a domeniilor folosite de peste o duzină de alte familii de programe rău-intenționate. Asta a tăiat legătura cu cel puțin 10 milioane de alte dispozitive infectate. Google și-a schimbat și felul în care verifică firmware-ul dispozitivelor Android TV înainte de certificare.

The Register citează și datele TrendAI: între 3 iunie și 1 octombrie, compania a văzut peste 3,8 milioane de adrese IP distincte, de acasă și de pe rețele mobile, conectate la această operațiune. Cazul seamănă cu BadBox 2.0, rețeaua de peste 10 milioane de dispozitive destructurată în martie 2025.

Cum verifici TV box-ul tău

1. Vezi dacă dispozitivul e certificat de Google. Deschide aplicația Magazin Google Play, apasă pe pictograma de profil, apoi Setări → Despre și uită-te la Certificare Play Protect. Dacă scrie „Dispozitivul nu este certificat”, Google nu are rezultatele testelor de compatibilitate pentru el. Pe unele cutii, meniul poate arăta ușor diferit.
2. Verifică producătorul în lista oficială a partenerilor Android TV. Google recomandă să cumperi astfel de dispozitive doar de la producători cunoscuți.
3. Fii atent la semnele clasice: o marcă de care nu ai auzit, un preț foarte mic, aplicații preinstalate care promit „toate canalele gratuit” sau oferte de a câștiga bani din „internetul nefolosit”. Google avertizează explicit în legătură cu aplicațiile care plătesc pentru partajarea conexiunii.
4. Verifică dacă Play Protect e pornit, din meniul profilului din Magazin Google Play, cum recomandă și Google. Dacă îl găsești oprit fără să-l fi oprit tu, e un semn rău.

Lista completă a pachetelor rău-intenționate e publicată de Google în raport, dar verificarea lor cere unelte pentru dezvoltatori, ca ADB, pe care majoritatea utilizatorilor nu le au.

Dacă bănuiești că e infectat

• Deconectează-l de la internet. Asta oprește activitatea rău-intenționată, chiar dacă nu șterge programul.
• Nu te baza pe resetarea din fabrică. Programul stă în firmware și revine. Doar un firmware curat, de la un producător de încredere, îl elimină. Pentru o cutie fără marcă, cea mai simplă soluție e, de cele mai multe ori, înlocuirea ei cu un dispozitiv certificat.
• Schimbă parolele conturilor în care te-ai autentificat pe cutie, de la Netflix și YouTube până la contul Google. Programul putea strânge date despre conturi. Folosește un manager de parole, ca să nu refolosești aceeași parolă.
• Dacă păstrezi totuși un dispozitiv necertificat, pune-l pe rețeaua Wi-Fi pentru oaspeți a routerului, separat de calculatoare și telefoane, și nu te autentifica pe el în conturi importante.

De ce contează

TV box-urile ieftine sunt populare și în România, mai ales pentru televizoarele mai vechi, fără funcții smart. Cazul XCPE arată că nici un dispozitiv nou, scos din cutie, nu e neapărat curat: când producătorul însuși pune programul rău-intenționat, antivirusul, actualizările și atenția ta la ce instalezi nu mai ajută prea mult. Aceeași lecție vine și din alte cazuri cu dispozitive conectate din casă, de la televizoarele care trimit date despre ce urmărești la routerele transformate în rețele de atac.

Surse: Google Threat Intelligence (raportul despre XCPE: atribuirea către Videostrong, tipurile de dispozitive, verificarea pentru dispozitivele MECOOL, ascunderea codului după prima pornire, partenerii, acțiunile legale, cele 10 milioane de dispozitive, recomandările pentru consumatori și lista partenerilor Android TV), BleepingComputer (2 noiembrie: funcțiile programului, modulele de proxy și fraudă cu reclame, programul de încărcare din 2024 și înlocuirea lui din august 2026, reinstalarea din partiția protejată, cutia MECOOL KM9PRO Max, sfatul de a instala firmware curat sau de a deconecta cutia), Help Net Security (2 noiembrie: furtul de date despre conturi), The Register (2 noiembrie: cele peste 200 de țări, datele TrendAI, legătura cu BadBox 2.0), pagina de ajutor Google (verificarea certificării Play Protect). Imagine ilustrativă.