Triệt phá botnet gồm 1,3 triệu hộp TV Android bị nhiễm mã độc

Chuyện gì đã xảy ra?

Một liên minh các công ty bảo mật tư nhân, làm việc cùng Cơ quan Cảnh sát Quốc gia Nhật Bản, đã làm gián đoạn XCPE. XCPE là một cửa hậu (backdoor) dùng để xây dựng botnet. Botnet là mạng lưới nhiều thiết bị bị kẻ xấu điều khiển từ xa. Google cho rằng Videostrong Technology, một hãng sản xuất phần cứng ở Thâm Quyến, Trung Quốc, đã cố ý cài XCPE vào phần mềm của thiết bị và bán quyền truy cập cho các đối tác tội phạm.

Các con số chính

• Hơn 1,3 triệu thiết bị Android bị nhiễm ở hơn 200 quốc gia
• Từ ngày 3/6 đến 1/10, TrendAI ghi nhận hơn 3,8 triệu địa chỉ IP nhà và di động kết nối với mạng này
• Google ước tính việc đánh sập các tên miền điều khiển có thể cắt quyền truy cập ít nhất 10 triệu thiết bị bị nhiễm khác

Cách mạng lưới hoạt động

Khi người mua kết nối thiết bị với mạng nhà, cửa hậu cho phép kẻ xấu biến kết nối internet của họ thành một mạng proxy. Kẻ xấu dùng mạng này để che giấu lưu lượng độc hại. Phần mềm quản lý có sẵn trong thiết bị lấy bản cập nhật từ một trang GitHub và kết nối tới máy chủ MQTT. Qua đó, kẻ xấu có thể cài hoặc gỡ ứng dụng, đổi cài đặt và đẩy bản cập nhật. Chiến dịch này cùng hệ sinh thái với BadBox 2.0, một botnet khác từng lây nhiễm hơn 10 triệu thiết bị và bị phá vào tháng 3 năm 2025.

Vì sao điều này quan trọng?

Người dùng bình thường có thể không biết chiếc hộp TV của mình đang bị dùng để làm việc xấu. Họ vẫn phải chịu rủi ro về bảo mật và mạng nhà. Vụ việc cũng cho thấy một nhà sản xuất có thể cài mã độc ngay từ khi xuất xưởng. Google đã cắt quan hệ với Videostrong và cấm hãng này sản xuất thiết bị có sẵn ứng dụng Google.

Cần theo dõi điều gì?

• Phản hồi chính thức của Videostrong, vì hãng chưa trả lời The Register ngay
• Các đối tác tội phạm có tìm được cách tiếp tục phân phối mô-đun độc hại qua kênh khác hay không
• Việc kiểm tra và loại bỏ các hộp TV Android có cửa hậu còn đang sử dụng trong nhà người dùng