Google cấm nhà sản xuất Android TV box sau vụ phát tán mã độc lên hơn 1,3 triệu thiết bị

Google đã chấm dứt hợp tác với Videostrong Technology sau khi phát hiện mã độc XCPE được cài đặt sẵn trên hơn 1,3 triệu thiết bị Android. Cửa hậu này biến các TV box, máy karaoke và nhiều thiết bị khác thành một mạng botnet quy mô toàn cầu, phục vụ gian lận quảng cáo, đánh cắp dữ liệu và chuyển tiếp lưu lượng mạng trái phép.

Mã độc XCPE xuất hiện trên hơn 1,3 triệu thiết bị

Theo Nhóm Tình báo Mối đe dọa của Google, công ty đã phát hiện cửa hậu XCPE trên nhiều thiết bị do Videostrong Technology sản xuất, bao gồm các mẫu Android TV box mang thương hiệu Mecool KTI và một số sản phẩm không có thương hiệu cụ thể.

Nhóm nghiên cứu bảo mật Synthient, có trụ sở tại Seattle, đã phối hợp với Google để phân tích hệ thống mã độc này. Qua quá trình điều tra, Synthient xác định ít nhất 182 mẫu thiết bị khác nhau bị nhiễm XCPE và tham gia vào mạng botnet.

Đáng chú ý, phạm vi ảnh hưởng không chỉ giới hạn ở các thiết bị giải trí gia đình. Mã độc còn được phát hiện trên một số sản phẩm khác của Videostrong, bao gồm thiết bị khám chữa bệnh từ xa, máy karaoke và bảng hiệu kỹ thuật số.

Google ước tính khoảng 1,3 triệu thiết bị đã bị ảnh hưởng. Trong khi đó, Trend Micro thống kê được 1.472.554 thiết bị nhiễm mã độc tại nhiều quốc gia và vùng lãnh thổ, bao gồm Mỹ, Canada, Đức, Anh, Australia, Brazil, Malaysia, Iraq, Mexico và Đài Loan.

Cửa hậu được thiết kế để né tránh hệ thống bảo mật của Google

Theo các nhà nghiên cứu, XCPE khai thác những lỗ hổng trong phần mềm nhúng của thiết bị để tải và thực thi mã độc ngay sau lần khởi động đầu tiên. Điều đáng lo ngại là người dùng có thể không nhận ra thiết bị đã bị xâm nhập, bởi phần mềm độc hại được tích hợp sẵn từ khâu sản xuất hoặc phân phối.

XCPE ban đầu xuất hiện vào năm 2024 dưới dạng một trình tải mã độc đơn giản với kiến trúc một giai đoạn. Tuy nhiên, trong những năm tiếp theo, hệ thống này được phát triển thành kiến trúc ba giai đoạn theo dạng mô-đun, giúp tăng khả năng mở rộng và bổ sung nhiều chức năng phục vụ hoạt động kiếm tiền.

Google cho biết mã độc sử dụng nhiều kỹ thuật che giấu để vượt qua quy trình kiểm tra và chứng nhận thiết bị Android. Một số cơ chế còn có khả năng vô hiệu hóa Play Protect, công cụ bảo mật tích hợp của Google vốn được thiết kế để phát hiện và ngăn chặn ứng dụng độc hại.

Đáng chú ý, XCPE có khả năng thay đổi các đặc điểm hoạt động trong suốt vòng đời nhằm tránh bị phát hiện. Nhờ đó, mạng botnet có thể tiếp tục thu hút thêm thiết bị mới mà không dễ bị các hệ thống bảo mật nhận diện.

Android TV box bị biến thành công cụ tấn công mạng

Sau khi xâm nhập thiết bị, XCPE đưa chúng vào một mạng botnet toàn cầu do các nhóm tội phạm mạng kiểm soát. Những thiết bị này có thể bị khai thác cho nhiều mục đích khác nhau, từ gian lận quảng cáo, đánh cắp dữ liệu đến chụp ảnh màn hình, ghi nhận thao tác bàn phím và mở shell từ xa để thực thi lệnh trái phép.

Một chức năng đáng chú ý khác là biến thiết bị nhiễm mã độc thành nút trong mạng proxy dân dụng. Khi đó, lưu lượng Internet của bên thứ ba có thể được chuyển tiếp thông qua địa chỉ IP của người dùng bị xâm nhập, khiến hoạt động của tội phạm khó bị truy vết hơn.

Theo các nguồn tin được dẫn trong báo cáo, Videostrong bị cáo buộc kiếm tiền từ hệ thống này bằng cách cho phép các nhóm tội phạm mạng cài đặt thêm mô-đun độc hại lên thiết bị. Những mô-đun phụ có thể thực hiện gian lận quảng cáo, đăng ký thiết bị vào mạng proxy dân dụng hoặc tiếp tục tải xuống các loại mã độc khác.

Điều này khiến XCPE không chỉ là một cửa hậu đơn lẻ, mà còn trở thành nền tảng để nhiều nhóm tội phạm khai thác chung một lượng lớn thiết bị đã bị xâm nhập.

Google phối hợp quốc tế triệt phá mạng botnet

Để điều tra hệ sinh thái XCPE và vô hiệu hóa các tên miền điều khiển mạng botnet, Google đã phối hợp với nhiều cơ quan thực thi pháp luật và tổ chức an ninh mạng quốc tế.

Các đơn vị tham gia bao gồm Cơ quan Cảnh sát Quốc gia Nhật Bản, Lumen, HUMAN Security, Plume, Synthient và TrendAI. Nỗ lực phối hợp này giúp xác định cơ sở hạ tầng điều khiển, phân tích hoạt động của mã độc và ngăn chặn khả năng tiếp tục khai thác các thiết bị bị nhiễm.

Google cũng xác nhận đã cắt đứt quan hệ với Videostrong Technology cùng các công ty liên kết. Những đơn vị này bị cấm sản xuất thiết bị Android được chứng nhận hoặc cung cấp phần mềm cho các nhà cung cấp Android khác và đối tác của Google.

Bên cạnh đó, Google cho biết đang cải thiện quy trình chứng nhận thiết bị Android nhằm kiểm tra chặt chẽ hơn tính toàn vẹn của phần mềm trước khi sản phẩm được đưa ra thị trường.

Người dùng cần thận trọng với Android TV box không rõ nguồn gốc

Vụ việc XCPE cho thấy rủi ro bảo mật không chỉ đến từ những ứng dụng người dùng chủ động cài đặt. Một thiết bị có thể đã chứa mã độc ngay từ khi xuất xưởng, khiến việc sử dụng các tính năng thông thường cũng vô tình tiếp tay cho hoạt động của tội phạm mạng.

Đặc biệt, những mẫu Android TV box giá rẻ, không rõ thương hiệu hoặc không có thông tin minh bạch về nhà sản xuất cần được cân nhắc kỹ trước khi mua. Người dùng nên ưu tiên thiết bị có nguồn gốc rõ ràng, được chứng nhận chính thức và còn nhận được các bản cập nhật bảo mật.

Nếu nghi ngờ thiết bị đã bị xâm nhập, việc khôi phục cài đặt gốc không phải lúc nào cũng đủ để loại bỏ mã độc được tích hợp sâu trong firmware. Trong trường hợp này, người dùng nên ngừng kết nối thiết bị với mạng gia đình và kiểm tra thông tin hỗ trợ từ nhà sản xuất.

Với quy mô hơn 1,3 triệu thiết bị bị ảnh hưởng, XCPE là lời cảnh báo đáng chú ý về nguy cơ chuỗi cung ứng phần cứng bị lợi dụng để phát tán mã độc trên diện rộng.