عطلت Google شبكة بوت نت خبيثة تضم أكثر من 1.3 مليون جهاز يعمل بنظام Android TV، تشمل بشكل رئيسي صناديق بث، وذلك بالتعاون مع شركاء تقنيين. وترجح الشركة أن الجهة المصنعة لهذه الأجهزة، Videostrong Technology، هي من طورت الباب الخلفي المثبت فيها، ونشرته وشغلته عمداً بهدف الربح.
بحسب Google، نفذت عملية التعطيل خلال الأسبوع الماضي عبر إجراء قانوني استهدف النطاقات والخوادم التي استخدمتها Videostrong للتحكم بالشبكة وتثبيت الوحدات الخبيثة، إلى جانب استهداف نطاقات التحكم التابعة لأكثر من اثنتي عشرة عائلة من البرمجيات الخبيثة المرتبطة بالباب الخلفي. وشهدت العملية مشاركة الشرطة الوطنية اليابانية وشركات Lumen وHUMAN Security وPlume وSynthient وTrendAI، في حين لم تفصح المدونة الرسمية عن اسم المحكمة أو أطراف الدعوى.
ويعمل الباب الخلفي، الذي يعرف باسم x.cpe، بصلاحيات النظام لكونه مثبتاً ضمن البرمجيات الثابتة للأجهزة. وأوضحت Google أن هذا الباب يعطل آليات فحص Play Protect، ويثبت التطبيقات بصمت، وينفذ الأوامر، ويلتقط صور الشاشة، ويسحب بيانات الحسابات وسجلات النظام، مع قدرته على إعادة تثبيت نفسه تلقائياً بعد حذفه. وعملت معظم الوحدات الخبيثة على تحويل الأجهزة المصابة إلى وسطاء إنترنت منزلي، بينما ركزت وحدات أخرى على توليد مشاهدات إعلانية مزيفة، وأكدت التحقيقات أن هذه الحملة المنظمة لم تنتج عن إهمال تطويري أو تصرف فردي من موظف مارق.
ورصدت TrendAI، في الفترة بين 3 يونيو و1 أكتوبر، 1,472,554 جهازاً مصاباً ينتمون إلى 206 طرازات موزعة في أكثر من 170 دولة، مؤكدة أن هذا الرقم يمثل الحد الأدنى للإصابات. وتصدرت ماليزيا والبرازيل والعراق والمكسيك وتايوان قائمة الدول الأكثر تأثراً، بينما سجلت الولايات المتحدة وألمانيا وبريطانيا وأستراليا وكندا إصابات تتراوح بين 26 ألفاً و42 ألف جهاز لكل منها. وفي السياق ذاته، نشرت Synthient قائمة تضم نحو 182 اسم طراز ظهرت في الحملة، محذرة من أن الاعتماد على اسم الطراز وحده لا يعد دليلاً كافياً لتأكيد الإصابة.
وقطعت Google كافة علاقاتها مع Videostrong، فارضة حظراً شاملاً عليها وعلى أي شركات تابعة لها يمنعها مستقبلاً من تصنيع أجهزة Android معتمدة أو توريد برمجيات للمصنعين المعتمدين. وكشفت التحقيقات أن الشركة تعمدت إخفاء شيفرتها البرمجية لتجاوز ثغرات الاختبارات، بحيث يتم تنزيل الشيفرة الخبيثة عقب الإقلاع الأول للجهاز. ودفع ذلك Google إلى تعديل إجراءات المراجعة وتحسين آليات فحص سلامة البرمجيات الثابتة في أجهزة Android TV المعتمدة. ولا يؤدي هذا التعطيل إلى إزالة الباب الخلفي من الأجهزة التي بيعت للمستخدمين.
وأكدت TrendAI أن البرمجية الخبيثة موقعة بمفتاح المصنع، ما يمنع المالك من إزالتها، ويجعل العلاج مقتصراً على تدخل مباشر من المصنع، أو توفير حماية من المنصة، أو استبدال الجهاز بالكامل. ورغم أن التعطيل يرفع التكلفة التشغيلية على المهاجمين، فإنه لا يمحو الزرع الخبيث من الأجهزة. وأوصت Google المستخدمين باقتناء الأجهزة المتصلة من مصنعين موثوقين، وتوخي الحذر من التطبيقات التي تقدم مكافآت مالية مقابل مشاركة اتصال الإنترنت.
وأشارت إلى أن هذه العملية ترتبط بالمنظومة التابعة لشبكة BadBox 2.0، وهي الشبكة التي سبق أن رفعت Google دعوى قضائية ضد مشغليها خلال عام 2025.
