Peste 1,3 milioane de dispozitive Android TV au fost infectate cu un program malițios numit XCPE, instalat direct de producător. Investigat de Google Threat Intelligence Group, acest malware a transformat echipamentele într-o rețea controlată de la distanță. Compania Videostrong Technology, producător de echipamente Android și TV Box-uri, este vizată de aceste acuzații grave privind integrarea codului malițios în software-ul dispozitivelor.
Spre deosebire de atacurile informatice convenționale, utilizatorii nu au fost nevoiți să descarce aplicații suspecte sau să acceseze site-uri periculoase. Codul malițios era integrat în software-ul de bază și putea fi activat imediat după prima pornire a aparatului. Google susține că Videostrong a construit și administrat intenționat acest sistem, pentru a vinde ulterior accesul la dispozitive unor operatori implicați în activități ilegale.
Programul XCPE beneficia de permisiuni extinse în sistemul Android, permițând operatorilor să execute diverse comenzi de la distanță. Cercetătorii au identificat funcții capabile să realizeze capturi de ecran, să simuleze apăsarea tastelor și să colecteze informații despre conturi sau aplicații instalate. Mai mult, software-ul putea dezactiva verificările de securitate oferite de Google Play Protect, facilitând astfel controlul asupra dispozitivului.
Infecția prezenta un nivel ridicat de persistență, deoarece codul rămânea în memoria internă destinată sistemului de operare. Chiar dacă un utilizator încerca să elimine aplicația asociată, aceasta se reinstala automat după repornirea aparatului. Google a menționat că mecanismul de evitare a detectării a fost modificat de mai multe ori începând cu anul 2024, pentru a proteja activitatea malware-ului.
Infractorii foloseau conexiunile la internet ale proprietarilor pentru a redirecționa trafic online și a genera vizualizări publicitare false. Această activitate permitea instalarea altor programe periculoase fără acordul utilizatorilor. Google a colaborat cu firme de securitate și autorități pentru a bloca infrastructura de control, vizând serverele prin care se transmiteau comenzile. Măsurile ar putea întrerupe accesul la alte 10 milioane de dispozitive compromise.
În urma acestui incident, Google a încetat colaborarea cu Videostrong și i-a interzis producția de dispozitive cu aplicații Google preinstalate. Deși rețeaua a fost blocată, specialistii avertizează că programul poate rămâne în dispozitive. Proprietarii sunt sfătuiți să deconecteze aparatele de la internet și să contacteze producătorul pentru o versiune sigură de software sau înlocuirea echipamentului.