Google và các đối tác công bố ngày 2/11 việc vô hiệu hóa quyền truy cập từ xa của nhóm vận hành XCPE, botnet liên quan đến hơn 1,3 triệu đầu thu Android TV. Tuy nhiên, mã độc vẫn nằm trong firmware của các thiết bị bị nhiễm.
Việc cắt kết nối điều khiển chưa đồng nghĩa đầu thu đã được làm sạch. Với người sở hữu thiết bị, vấn đề còn lại là khả năng loại bỏ mã độc và phương án khắc phục từ nhà sản xuất hoặc bên bán.
- Mã độc XCPE được cài sẵn trong firmware và có thể tự cài lại sau khi khởi động lại.
- Đầu thu bị nhiễm được dùng làm proxy dân cư và phục vụ gian lận quảng cáo.
- Chưa ghi nhận phương án thu hồi, cập nhật firmware sạch hoặc thay thế hàng loạt dành riêng cho XCPE trong các tài liệu công khai được rà soát.
XCPE vẫn tồn tại trong firmware sau khi mất kết nối điều khiển
XCPE sử dụng mã độc cài sẵn trong firmware với quyền hệ thống. Việc vô hiệu hóa hạ tầng điều khiển từ xa ngăn nhóm vận hành tiếp cận thiết bị, nhưng không loại bỏ mã độc bên trong đầu thu.
Theo phân tích của Google về XCPE, thành phần x.cpe, mang tên com.oemservice trên một số thiết bị, có thể tự cài lại từ phân vùng /oem/ sau khi khởi động lại, ngay cả khi đã bị xóa.
Khi đầu thu được bật và kết nối Internet, thành phần cài sẵn liên lạc với hệ thống điều khiển, sau đó chuyển lệnh tới com.abc.nexus hoặc các trình nạp mã độc mới hơn. Nhóm vận hành có thể dùng thông điệp MQTT để cài ứng dụng trái phép, thực thi lệnh và ghi lại màn hình.
Nghiên cứu của TrendAI cho biết ứng dụng hệ thống được ký số bằng khóa của nhà sản xuất. Đặc điểm này khiến chủ sở hữu khó tự gỡ bỏ mã độc.
Google cáo buộc Videostrong xây dựng và vận hành cửa hậu
Google tuyên bố có mức độ tin cậy cao rằng Videostrong cố ý xây dựng và vận hành cửa hậu để kiếm tiền. Đây là cáo buộc của Google đối với nhà sản xuất.
Google cho rằng Videostrong đã che giấu mã độc nhằm vượt qua quy trình kiểm tra chứng nhận Android. Google cấm Videostrong và các đơn vị liên kết trong tương lai sản xuất thiết bị Android được chứng nhận hoặc cung cấp phần mềm cho các nhà cung cấp được chứng nhận.
Google đồng thời tăng cường kiểm tra firmware. Cơ quan Cảnh sát Quốc gia Nhật Bản cùng một số công ty bảo mật đã phối hợp trong chiến dịch vô hiệu hóa botnet.
Đầu thu bị nhiễm kiếm tiền qua proxy dân cư và gian lận quảng cáo
XCPE khai thác kết nối Internet gia đình bằng cách biến đầu thu bị nhiễm thành proxy dân cư, cho phép bên khác sử dụng kết nối mà chủ sở hữu không biết. Nhóm vận hành cũng triển khai các chương trình gian lận quảng cáo.
Theo cảnh báo của FBI về proxy dân cư, việc đi qua mạng gia đình giúp hoạt động của tội phạm trông giống lưu lượng từ người tiêu dùng thông thường. Với quảng cáo trên TV kết nối Internet, lưu lượng gian lận cũng tạo ra rủi ro cho bên mua quảng cáo.
| Chỉ số | Số liệu và thời gian | Phạm vi cần phân biệt |
|---|---|---|
| Đầu thu Android TV thuộc XCPE | Hơn 1,3 triệu thiết bị | Quy mô botnet trong thông báo của Google ngày 2/11 |
| Địa chỉ IP dân cư đầu ra riêng biệt do TrendAI theo dõi | 3,85 triệu IP từ ngày 3/6 đến 1/10/2026 | Đây là số địa chỉ IP, không phải số đầu thu được xác nhận nhiễm mã độc |
| Mức tăng các mô hình và biến thể gian lận quảng cáo trên TV kết nối Internet | 140% trong quý I/2026 so với cùng kỳ năm trước | Số liệu của DoubleVerify, không chỉ bao gồm XCPE |
| Thiết bị bị xâm nhập khác có thể bị cắt kết nối điều khiển | Ít nhất 10 triệu thiết bị theo ước tính của Google | Tách biệt với hơn 1,3 triệu thiết bị thuộc XCPE |
Thống kê của DoubleVerify về gian lận quảng cáo trên TV kết nối Internet phản ánh rủi ro rộng hơn của lĩnh vực này. Không thể quy toàn bộ mức tăng 140% cho XCPE.
Google còn nhắm tới các tên miền điều khiển của những bên liên kết. Ước tính ít nhất 10 triệu thiết bị có thể bị cắt kết nối từ hoạt động này là một nhóm riêng, không phải quy mô của botnet XCPE.
Những mẫu đầu thu nào được nhắc tới và đã có phương án khắc phục chưa?
Synthient đã kiểm tra một đầu thu MECOOL KM9PRO Max và liệt kê các chuỗi model KM9PRO_MAX, KM7PLUS, KD3. Tên model trùng khớp chưa đủ để kết luận một thiết bị bị nhiễm mã độc.
Phân tích của Synthient về MECOOL KM9PRO Max trình bày hoạt động bên trong thiết bị được kiểm tra. Các chuỗi model được công bố trong tài liệu nghiên cứu của Synthient trên GitHub.
Đợt rà soát tài liệu công khai của Google, TrendAI, Synthient và trang bảo hành MECOOL ngày 3/11 chưa ghi nhận chương trình thu hồi liên quan đến XCPE, bản cập nhật firmware sạch hoặc phương án thay thế hàng loạt. Phạm vi rà soát không bao gồm phản hồi riêng của từng bên bán.
| Nội dung bảo hành MECOOL | Thời hạn hoặc tình trạng được nêu |
|---|---|
| Đổi trả | 30 ngày |
| Bảo hành vấn đề chất lượng | 1 năm |
| Biện pháp dành riêng cho XCPE | Chưa được nêu trên trang bảo hành được rà soát |
Chính sách bảo hành của MECOOL nêu các điều khoản chung về đổi trả và chất lượng, nhưng chưa xác định cách xử lý riêng cho XCPE. Với đầu thu nghi bị nhiễm, biện pháp được đề xuất là ngắt kết nối và yêu cầu bên bán cung cấp phương án sửa chữa hoặc thay thế có xác nhận bằng văn bản.
Tổng kết
Chiến dịch của Google đã cắt quyền truy cập từ xa của nhóm vận hành XCPE, nhưng mã độc trong firmware vẫn là vấn đề chưa được giải quyết. Khả năng làm sạch thiết bị và phương án khắc phục cụ thể từ nhà sản xuất hoặc bên bán là những điểm còn cần làm rõ.
