Google ปิดบอตเน็ต XCPE ในกล่องทีวี 1.3 ล้านเครื่อง มัลแวร์ฝังมาจากโรงงาน

Google Threat Intelligence เผยแพร่รายงาน "Shutting the Door on the XCPE Botnet" ซึ่ง CNX Software สรุปไว้เมื่อ 4 พฤศจิกายน 2026 ว่ากล่อง Android TV ที่ได้การรับรองจาก Google อย่างน้อย 1.3 ล้านเครื่อง ติดแบ็กดอร์ชื่อ XCPE และหลังการจัดการครั้งนี้จะมีอุปกรณ์ที่ถูกเจาะอีก อย่างน้อย 10 ล้านเครื่อง ได้รับการป้องกันจากมัลแวร์ตัวนี้ ปฏิบัติการนี้ดำเนินมาตั้งแต่อย่างน้อย ปลายปี 2024

เกิดอะไรขึ้น

Google ประเมิน "ด้วยความมั่นใจสูง" ว่ามัลแวร์ถูกพัฒนาและควบคุมโดย Videostrong Technology ผู้ผลิตกล่องทีวีเอง (รวมถึงแบรนด์ MECOOL ที่บริษัทความปลอดภัย Synthient นำรุ่น KM9Pro ไปทดสอบ) ตัวแบ็กดอร์ x.cpe ถูก ฝังไว้ในพาร์ทิชันเฟิร์มแวร์ และถ้าผู้ใช้ลบ มันจะติดตั้งตัวเองกลับจากพาร์ทิชัน /oem/ หลังรีบูต ทางเดียวที่จะลบออกได้คือแฟลชเฟิร์มแวร์ใหม่ ถ้ามีให้ใช้

จุดที่น่ากังวลคือมัลแวร์ หลบการทดสอบรับรองได้ด้วยการซ่อนโค้ดและรอโหลดส่วนอันตรายหลังบูตครั้งแรก โครงสร้างมี 3 ชั้น คือ

• แบ็กดอร์ x.cpe ติดต่อเซิร์ฟเวอร์สั่งการ (C2)
• ตัวโหลด com.abc.nexus ที่หลบการวิเคราะห์ได้และดาวน์โหลดมัลแวร์เพิ่มได้
• โมดูลหารายได้จากพันธมิตร เช่น เปลี่ยนกล่องเป็น residential proxy (ให้คนอื่นยืมไอพีบ้านผู้ใช้) และโกงโฆษณา

การสื่อสารใช้ทั้ง HTTP และ MQTT และไฟล์มัลแวร์ส่วนใหญ่ฝากไว้บน GitHub

Google ใช้มาตรการทางกฎหมายปิดโดเมน C2 แล้ว ตัดความร่วมมือกับ Videostrong (ติดตั้งแอป Google มาในเครื่องไม่ได้และไม่ได้การรับรองอีก) และปรับกระบวนการตรวจให้จับพฤติกรรมแบบหน่วงเวลาได้ ขณะนี้ CNX ยังไม่ได้รับคำชี้แจงจาก Videostrong

สำหรับคนออกแบบ IoT product

ถ้าคุณจ้าง ODM หรือโรงงานผลิตอุปกรณ์พร้อมเฟิร์มแวร์ ข่าวนี้เตือนว่า ใบรับรองจากแพลตฟอร์มไม่ได้แปลว่าเฟิร์มแวร์สะอาด คุณควรได้ซอร์สโค้ดหรืออย่างน้อยรายการซอฟต์แวร์ทั้งหมด (SBOM) ของทุกพาร์ทิชัน ทำ secure boot ที่คุณถือกุญแจเซ็นเอง ไม่ใช่โรงงานถือ และสุ่มเครื่องจากล็อตผลิตจริงมาดักดูทราฟฟิกเครือข่ายหลายวัน ไม่ใช่แค่ตอนบูตครั้งแรก สังเกตว่ามัลแวร์ใช้ MQTT เหมือนอุปกรณ์ IoT ทั่วไป ระบบมอนิเตอร์ฝั่งคลาวด์ของคุณจึงควรแจ้งเตือนเมื่ออุปกรณ์ต่อออกไปหาโฮสต์ที่ไม่อยู่ในรายการที่อนุญาต

อ่านซีรีส์ ออกแบบ IoT Product ตั้งแต่ศูนย์จนขายได้