Çmontohet Android TV botnet në 1,3 milionë pajisje
Android TV botnet i njohur si XCPE regjistroi më shumë se 1,3 milionë set-top boxes përmes malware të dërguar bashkë me pajisjet, sipas Google Threat Intelligence Group (GTIG). Më 2 nëntor 2026, Google tha se kishte bashkëpunuar me partnerë të industrisë dhe kishte ndërmarrë veprime ligjore kundër domain-eve dhe serverëve të përdorur për të kontrolluar rrjetin. Një botnet është një grup pajisjesh të komprometuara që operohen nga larg pa dijeninë e pronarëve të tyre.
GTIG dhe specialistë të tjerë të industrisë arritën në përfundimin se prodhuesi kinez i TV box, Videostrong Technology Co., ishte përgjegjës për përfshirjen e malware, dhe Google tha se i kishte ndërprerë marrëdhëniet me kompaninë. XCPE e merr emrin nga një komponent qendror i kodit keqdashës. Edhe pse TV box përbënin shumicën e infektimeve, hetuesit gjetën të njëjtin malware edhe në pajisje teleshëndetësore me bazë Android, makina karaoke dhe sisteme digital signage. Këto janë produkte Internet of Things (IoT), që do të thotë pajisje të përditshme që lidhen me internetin.
Malware instalonte software që e vinte adresën e internetit të çdo familjeje në dispozicion përmes disa shërbimeve residential proxy. Një residential proxy e drejton aktivitetin në internet të dikujt tjetër përmes një lidhjeje të zakonshme shtëpiake, duke fshehur vendndodhjen reale të klientit dhe duke bërë që trafiku të duket sikur vjen nga familja e prekur. Shërbime të tilla mund të përdoren për marrjen nën kontroll të llogarive, mashtrime me reklamat dhe mbledhjen në shkallë të gjerë të përmbajtjeve online për projekte të inteligjencës artificiale. GTIG tha se Videostrong fitonte para nga qasja e fshehur duke ua shitur atë bashkëpunëtorëve kriminalë dhe duke dërguar modulet e tyre shtesë malware te pajisjet e infektuara.
Google u kërkon prodhuesve të pajisjeve Android të kalojnë testime për pajtueshmërinë dhe sigurinë, të cilat synojnë të parandalojnë produktet e dëmshme. Sipas GTIG, Videostrong megjithatë kishte gjetur një mënyrë për ta instaluar software-in e vet menjëherë pasi një pajisje ndizej për herë të parë. Google tha se tashmë e ka korrigjuar atë dobësi. GTIG tha se pronarët nuk kishin dhënë me vetëdije pëlqimin që pajisjet ose lidhjet e tyre të ofroheshin si kanal shpërndarjeje për operatorë të tjerë.
Disa software development kits të ofruesve të residential proxy, paketa kodi që përdoren për t’i shtuar një shërbim një aplikacioni ose pajisjeje, shkarkoheshin rregullisht nga sistemet e infektuara me XCPE. GTIG përmendi AppSalt, i njohur gjithashtu si Honeygain, që është në pronësi të Oxylabs me seli në Vilnius. Oxylabs u rihap me emrin Source në tetor 2026, pasi mori 130 milionë dollarë nga firma e kapitalit privat Warburg Pincus, në një marrëveshje që raportohet se e vlerësonte biznesin në 3,6 miliardë dollarë. Oxylabs nuk iu përgjigj kërkesës së KrebsOnSecurity për koment. Shërbimet e tjera të identifikuara nga GTIG përfshinin EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb dhe GaGaNode.
NetNut, që operohet nga kompania izraelite e listuar në bursë Alarum Technologies, u lidh gjithashtu me XCPE. Në korrik 2026, FBI-ja dhe partnerët e industrisë sekuestruan qindra domain-e të lidhura me NetNut, duke thënë se ai operonte një botnet të veçantë të quajtur Popa, i cili gjithashtu i kthente TV box në residential proxy. Sipas Synthient, një kompani që monitoron ofruesit e proxy, malware i Videostrong shpërndante gjithashtu software për shërbimin proxy Grass. Një studim i mëparshëm nga Censys gjeti software të Grass të përfshirë me pajisjen Superbox për transmetim televiziv, megjithëse Grass mohoi çdo lidhje me prodhuesin e pajisjes.
Synthient kishte hetuar më parë Kimwolf, një tjetër botnet që infektoi me shpejtësi miliona Android set-top boxes dhe nisi ato që kompania i përshkroi si distributed denial-of-service attacks rekord. Një distributed denial-of-service attack, ose DDoS attack, mbingarkon një shërbim online me trafik nga shumë pajisje njëkohësisht. Synthient zbuloi se Kimwolf shfrytëzonte një dobësi të përhapur në shërbimet residential proxy për të arritur pajisje të tjera Android brenda rrjeteve lokale të pronarëve të TV box që nuk dyshonin për asgjë.
Ky studim nxiti dhjetëra ofrues proxy të korrigjonin rrjetet e tyre, duke e copëzuar Kimwolf në grupe më të vogla, distributed denial-of-service attacks e përsëritura të të cilave menaxhoheshin më lehtë nga operatorët e rrjeteve. Ai tërhoqi gjithashtu vëmendjen e Motion Picture Association, që përfaqëson studiot kryesore të Hollywood-it. Shoqata bashkëpunoi me Synthient për të blerë dhe ekzaminuar Android TV box të njohur, duke përfshirë produkte të prekura nga Kimwolf dhe botnet të tjera IoT.
Në një studim të publikuar krahas çmontimit të XCPE, Synthient ekzaminoi një MECOOL box të njohur dhe të infektuar paraprakisht, të shitur nga kompania kineze e listuar në bursë Skyworth Technology. Ajo arriti në përfundimin se produkti përfshinte malware të Videostrong dhe instalonte AppSalt/Honeygain dhe komponentë të tjerë proxy. Synthient tha se popullariteti i MECOOL u rrit ndjeshëm pasi produkti u shfaq në vitin 2023 në kanalin e YouTube të identifikuar në studim si Linux Tech Tips, i cili ka afro 17 milionë abonentë. Kanali i tha Synthient se më vonë e kishte përditësuar videon për ta përshkruar shprehimisht produktin si mashtrim dhe kishte hequr linket përkatëse të affiliate.
Superbox dhe produkte të krahasueshme Android TV kishin tërhequr klientë në mënyrë të ngjashme përmes influencer-ëve në TikTok dhe platforma të tjera sociale, të cilët promovonin qasje në qindra shërbime televizive me pagesë të piratuara kundrejt një pagese të vetme. Ky premtim shitjeje është një shenjë paralajmëruese për blerësit, sepse sjellja e fshehur e pajisjes mund të jetë e vështirë të dallohet vetëm nga funksionet e saj të transmetimit.
GTIG vlerëson se veprimi kundër XCPE mund të ndërpresë qasjen në të paktën 10 milionë pajisje të tjera të komprometuara. Arsyetimi i tij është se bashkëpunëtorët e Videostrong për proxy dhe mashtrimet me reklamat përdorin secili rrugë shpërndarjeje për modulet e tyre edhe jashtë XCPE. Synthient e përshkroi numrin e konfirmuar prej 1,3 milionë pajisjesh si një vlerësim shumë konservator dhe tha se përmasat reale ishin ndoshta shumë më të mëdha, duke e quajtur operacionin veprimin më të madh që kishte parë kundër TV box me backdoor. Një backdoor është një qasje e fshehur që i lejon një pale tjetër të kontrollojë një pajisje ose të instalojë software pa lejen e zakonshme.
Bizneset që vendosin nëse pajisjet e lidhura duhet të lejohen në rrjetet e vendeve të punës mund të përdorin AEU-I për IT, infrastrukturë dhe konsulencë me sigurinë si përparësi. Për lexuesit që kërkojnë hollësi të mëtejshme teknike, materialet e publikuara përfshijnë një white paper nga Plume Security Labs, një analizë nga Black Lotus Labs, analizën e TrendAI dhe listën e Synthient me pajisjet e prekura, të organizuar sipas numrit të modelit.