Peste 1,3 milioane de dispozitive Android TV, infectate cu un virus instalat de producător. Google a rupt colaborarea cu firma chineză

Peste 1,3 milioane de dispozitive utilizate pentru vizionarea programelor TV și a conținutului online au fost infectate cu un program informatic periculos, instalat înainte ca produsele să ajungă la cumpărători. Google acuză un producător chinez de echipamente Android că ar fi introdus intenționat software-ul malițios, transformând aparatele într-o rețea controlată de la distanță, folosită pentru activități ilegale.

Dispozitivele Android TV erau infectate înainte de a ajunge la cumpărători

Compania vizată este Videostrong Technology, producător de echipamente Android, inclusiv TV Box-uri care permit transformarea televizoarelor obișnuite în dispozitive inteligente. Potrivit unei investigații realizate de Google Threat Intelligence Group, programul malware, denumit XCPE, a compromis peste 1,3 milioane de dispozitive, care au devenit parte a unei rețele informatice controlate de operatori de la distanță.

Cazul se diferențiază de atacurile informatice obișnuite prin faptul că utilizatorii nu trebuiau să descarce aplicații suspecte și nici să acceseze site-uri periculoase pentru ca dispozitivele să fie compromise. Codul malițios era integrat direct în software-ul aparatelor și putea fi activat după prima pornire.

Google susține că Videostrong Technology a construit și administrat intenționat acest sistem, după care a comercializat accesul la dispozitive către operatori implicați în activități ilegale.

Aceștia exploatau conexiunile la internet ale proprietarilor pentru a redirecționa trafic online, a genera vizualizări publicitare false și a instala alte programe periculoase. În consecință, un dispozitiv cumpărat pentru vizionarea filmelor sau a emisiunilor TV putea fi utilizat în operațiuni informatice fără știrea și acordul proprietarului.

Virusul XCPE putea realiza capturi de ecran și colecta informații personale

Programul malițios XCPE beneficia de permisiuni extinse în sistemul de operare Android, ceea ce le oferea operatorilor posibilitatea de a transmite comenzi de la distanță.

Cercetătorii Google au identificat mai multe funcții periculoase ale software-ului. Printre acestea se numărau realizarea capturilor de ecran, simularea apăsării tastelor și colectarea unor informații despre conturile utilizatorilor, aplicațiile instalate și caracteristicile dispozitivului.

De asemenea, programul putea dezactiva verificările de securitate realizate de Google Play Protect, sistemul Google destinat identificării și blocării aplicațiilor periculoase.

O altă problemă importantă era capacitatea virusului de a rămâne instalat chiar și după ce utilizatorul încerca să îl elimine. Dacă aplicația asociată programului malițios era ștearsă, aceasta se reinstala automat la următoarea repornire a dispozitivului. Mecanismul era posibil deoarece codul periculos rămânea în memoria internă rezervată sistemului de operare.

Potrivit Google, mecanismul de infectare a fost modificat de mai multe ori începând din 2024, cu scopul de a evita detectarea de către sistemele de securitate.

Google a blocat rețeaua de dispozitive infectate și a întrerupt colaborarea cu producătorul

Pentru a combate amenințarea, Google a colaborat cu firme specializate în securitate cibernetică și cu autorități. Operațiunea a urmărit blocarea infrastructurii utilizate pentru controlul dispozitivelor compromise.

Intervenția a vizat inclusiv serverele prin intermediul cărora operatorii transmiteau comenzi către aparatele infectate și instalau programe suplimentare.

Google estimează că măsurile luate ar putea întrerupe accesul infractorilor și la cel puțin 10 milioane de alte dispozitive compromise prin intermediul unor rețele asociate.

Totodată, compania a anunțat că a încetat colaborarea cu Videostrong Technology și i-a interzis producătorului să mai fabrice dispozitive care includ aplicații Google preinstalate. Au fost introduse și verificări suplimentare, menite să împiedice repetarea unei asemenea situații.

Ce trebuie să facă proprietarii dispozitivelor Android TV afectate

Deși infrastructura utilizată pentru controlul rețelei a fost blocată, programul periculos poate rămâne instalat pe dispozitivele deja compromise.

Specialiștii în securitate avertizează că ștergerea unei aplicații asociate virusului sau simpla repornire a aparatului nu sunt suficiente pentru eliminarea problemei. Proprietarii care suspectează că dețin un TV Box afectat sunt sfătuiți să îl deconecteze de la internet și să contacteze producătorul.

Aceștia trebuie să solicite o versiune sigură a software-ului sau, dacă este necesar, înlocuirea dispozitivului.

O dificultate suplimentară este faptul că Google nu a publicat o listă completă a tuturor modelelor afectate. Din acest motiv, utilizatorii nu pot stabili întotdeauna doar pe baza denumirii comerciale a produsului dacă aparatul lor a fost compromis.

Google and partners just shut the door on the XCPE botnet, severing criminal access to 10M+ devices. 🛡

Instead of a hacker breaking in, a device maker hid a backdoor in its own TV boxes to sell access to cybercriminals.

Full story: https://t.co/9gBcoGa0bG https://t.co/sPqfJn7mor

— Google Cloud Security (@GoogleCloudSec) November 2, 2026