گوگل با شناسایی و از کار انداختن سرورهای پشت شبکه بات‌نت (Botnet) موسوم به XCPE، موفق به متوقف کردن یک عملیات گسترده شد. این بات‌نت از یک بک‌دور (Backdoor) مخفی در فریم‌ور (Firmware) دستگاه‌های Android TV استفاده می‌کرد. گروه هوش تهدید گوگل (Google Threat Intelligence Group) با اطمینان بالا، این عملیات را به شرکت Videostrong Technology نسبت داده است؛ شرکتی که تولیدکننده بسیاری از این دستگاه‌هاست. برآورد می‌شود بیش از ۱.۳ میلیون دستگاه مستقیماً تحت کنترل این شبکه بوده‌اند.
مدل کسب‌وکار و قابلیت‌های مخرب
بر اساس تحقیقات، مدل کسب‌وکار این شرکت بر پایه فروش دسترسی بنا شده بود. این شرکت دسترسی به شبکه خانگی مشتریان خود را به گروه‌های مجرم می‌فروخت تا آن‌ها ماژول‌های خود را روی دستگاه‌ها نصب کنند. این ماژول‌ها قابلیت‌های زیر را داشتند:
- نمایش تبلیغات مخفیانه (Hidden Ads).
- استفاده از دستگاه‌ها در شبکه‌های پروکسی مسکونی (Residential Proxy Networks) برای هدایت ترافیک کاربران دیگر.
- سرقت جزئیات حساب‌های کاربری و لاگ‌های سیستم (System Logs).
- نصب بدافزارهای (Malware) بیشتر.
- گرفتن اسکرین‌شات‌های زنده، تزریق کلیدهای کیبورد (Keystroke Injection) و باز کردن شل (Shell) در دستگاه.
گوگل تخمین می‌زند که با قطع دامنه کنترل این گروه‌ها، دسترسی به ۱۰ میلیون دستگاه دیگر که از طریق مسیرهای متفاوت آلوده شده بودند نیز قطع شود. علاوه بر Android TV، دستگاه‌های IoT مبتنی بر اندروید دیگر از جمله تجهیزات پزشکی از راه دور (Telehealth)، دستگاه‌های کارائوکه و تابلوهای دیجیتال نیز هدف قرار گرفته بودند.
ماندگاری و مقابله با تهدید
مؤلفه اصلی این بدافزار با سطح دسترسی سیستم (System Privileges) اجرا می‌شود و پس از ریبوت (Reboot)، خود را از یک پارتیشن محافظت‌شده بازنشانی می‌کند؛ به طوری که حذف اپلیکیشن به تنهایی برای پاکسازی دستگاه کافی نیست. این بدافزار همچنین با تغییر تنظیمات، قابلیت Google Play Protect را غیرفعال کرده و سوابق موافقت کاربر را پاک می‌کند. از اوت ۲۰۲۶، عاملان تهدید از اکسپلویت‌های افزایش سطح دسترسی (Privilege Escalation) برای نوشتن در پارتیشن سیستم استفاده کرده‌اند تا حذف آن‌ها دشوارتر شود.
گوگل در پاسخ به این تهدید، اقدامات قانونی علیه دامنه‌ها و سرورهای مورد استفاده انجام داده و شرکت Videostrong Technology را از ساخت دستگاه‌های دارای گواهینامه اندروید یا تأمین نرم‌افزار برای تولیدکنندگان معتبر محروم کرد. همچنین فرآیند بررسی فریم‌ور (Firmware Integrity Checks) برای دستگاه‌های اندرویدی سخت‌گیرانه‌تر شده است.
به‌روزرسانی (نوامبر 2, 2026 — The Hacker News)
به‌روزرسانی:
تحقیقات جدید نشان می‌دهد که بیش از ۱.۳ میلیون دستگاه اندرویدی (عمدتاً Android TV Box) تحت کنترل بات‌نت XCPE قرار داشتند. گوگل با اطمینان بالا اعلام کرده است که شرکت Videostrong به‌صورت عمدی یک درگاه پشتی (Backdoor) تحت عنوان x.cpe را در فریم‌ور (Firmware) دستگاه‌ها قرار داده تا دسترسی مجرمان را به این تجهیزات بفروشد.
این بدافزار با سطح دسترسی سیستم (System-level access) عمل کرده و برای نفوذ بیشتر، قابلیت Google Play Protect را غیرفعال می‌کند. از طریق این درگاه، مهاجمان قادر به اجرای دستورات از راه دور (Reverse Shells)، ضبط صفحه نمایش (Screenshot)، ثبت keystrokes و استفاده از پهنای باند کاربران به عنوان پروکسی مسکونی (Residential Proxy) برای کلاهبرداری‌های تبلیغاتی (Ad Fraud) بودند.
نکته حائز اهمیت، ماهیت پایداری (Persistence) این تهدید است؛ از آنجایی که x.cpe بخشی از فریم‌ور است، با ری‌استارت شدن دستگاه دوباره نصب می‌شود. کارشناسان از جمله TrendAI و Plume تأکید می‌کنند که ریست فکتوری (Factory Reset) ممکن است کافی نباشد و در بسیاری از موارد، تنها راه مقابله، جایگزینی کامل دستگاه یا اقدام مستقیم سازنده است.
این عملیات با همکاری نهادهایی نظیر پلیس ملی ژاپن و شرکت‌های امنیتی مانند TrendAI انجام شد. در پی این یافته‌ها، گوگل شرکت Videostrong را از اکوسیستم اندروید محروم کرده و فرآیندهای بازبینی (Review process) خود را برای شناسایی کدهای مخرب پنهان در فریم‌ورها تقویت کرده است.
به‌روزرسانی (نوامبر 3, 2026 — databreachtoday.com)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که بدافزار XCPE از یک معماری ماژولار (Modular Architecture) سه‌مرحله‌ای بهره می‌برد که برای افزایش پایداری و سودآوری از طریق مدل‌های چند‌مستاجری (Multi-tenant) طراحی شده است.
این بدافزار از ماژول‌های تخصصی برای اهداف مختلف استفاده می‌کند، از جمله:
- پروکسی‌های مسکونی (Residential Proxies): استفاده از ماژول‌هایی مانند Linkfog، AppSalt و NetNut برای تبدیل دستگاه‌های آلوده به گره‌های خروجی پروکسی.
- تقلب تبلیغاتی (Ad-fraud): بهره‌گیری از ماژول‌های CBOXTV و HiddenView برای اجرای حملات تقلب در حوزه تبلیغات.
- دسترسی‌های پشتی (Backdoors): استفاده از ماژول‌های Moyu و Spirit برای ایجاد درگاه‌های دسترسی ثانویه و بارگذاری ماژول‌های سودآوری بیشتر.
علاوه بر این، این بدافزار با توانایی بالایی در دور زدن Google Play Protect و پاک کردن تنظیمات رضایت کاربر (User Consent)، کنترل خود را بر دستگاه حفظ کرده و از سرایت مجدد یا شناسایی توسط کاربر جلوگیری می‌کند.
به‌روزرسانی (نوامبر 3, 2026 — CyberScoop)
به‌روزرسانی: گزارش‌های جدید از عملیات گوگل نشان می‌دهد که بات‌نت XCPE شامل بیش از ۱.۳ میلیون دستگاه TV set-top box بوده است. این بدافزار با استفاده از یک تکنیک پیشرفته، بلافاصله پس از اولین بوت (First Boot) دستگاه بارگذاری می‌شد تا از تست‌های امنیتی گوگل عبور کرده و شناسایی نشود.
این عملیات علاوه بر دستگاه‌های مذکور، دسترسی به حداقل ۱۰ میلیون دستگاه دیگر را که توسط تولیدکنندگان مختلف آلوده شده بودند، قطع کرده است. این شبکه بات‌نت در بیش از ۱۷۰ کشور جهان گسترده شده و علاوه بر گیرنده‌های تلویزیونی، دستگاه‌های سلامت دیجیتال (Telehealth)، دستگاه‌های کارائوکه و تابلوهای دیجیتال را نیز تحت کنترل داشته است.
عاملان تهدید از این زیرساخت برای فعالیت‌های مجرمانانه‌ای نظیر تقلب در تبلیغات (Ad Fraud)، سرقت داده‌ها و ایجاد شبکه‌های پروکسی مسکونی (Residential Proxy Networks) برای هدایت ترافیک مخرب استفاده می‌کردند.
به‌روزرسانی (نوامبر 3, 2026 — Malware News)
به‌روزرسانی: گزارش‌های تکمیلی از عملیات مقابله با بات‌نت XCPE نشان می‌دهد که ابعاد این تهدید بسیار فراتر از برآوردهای اولیه است. در حال حاضر، بیش از ۱.۳ میلیون دستگاه Android TV Box که به صورت پیش‌فرض حاوی بدافزار هستند، شناسایی شده‌اند. با این حال، کارشناسان هشدار می‌دهند که این سرایت می‌تواند بیش از ۱۰ میلیون دستگاه دیگر از جمله تجهیزات پزشکی (Healthcare Devices) مبتنی بر اندروید، دستگاه‌های کارائوکه و سیستم‌های تابلوهای دیجیتال (Digital Signage) را نیز تحت کنترل مجرمان قرار دهد.
این بدافزار با هدف تبدیل اتصال اینترنت کاربران به «پراکسی‌های مسکونی» (Residential Proxies) برای انجام کلاهبرداری‌های تبلیغاتی (Advertising Fraud) و پنهان‌سازی ترافیک مجرمانه طراحی شده است. بررسی‌ها نشان می‌دهد که شرکت Videostrong Technology با تزریق عمدی بدافزار در مرحله بوت اولیه (First Boot)، دسترسی مجرمان به این شبکه را فراهم می‌کرد. همچنین، سرویس‌های پراکسی مختلفی از جمله AppSalt (متعلق به Oxylabs) و NetNut در این اکوسیستم نقش ایفا کرده‌اند.
بر اساس تحلیل‌های شرکت Synthient، عدد ۱.۳ میلیون دستگاه بسیار محافظه‌کارانه است و احتمالاً دامنه آلودگی بسیار گسترده‌تر است. برندهایی مانند MECOOL و Superbox نیز در این زنجیره توزیع بدافزار و استفاده از پهنای باند کاربران مورد شناسایی قرار گرفته‌اند.
به‌روزرسانی (نوامبر 3, 2026 — Cybersecurity News)
به‌روزرسانی: گوگل در گزارش‌های تکمیلی خود اعلام کرد که بات‌نت XCPE بیش از ۱.۳ میلیون دستگاه (عمدتاً Android TV) را تحت تأثیر قرار داده است. این بدافزار از طریق دو Backdoor با نام‌های x.cpe و com.oemservice عمل می‌کرد که به دلیل قرار داشتن در سطح Firmware، دسترسی‌های سیستمی گسترده‌ای داشتند.
از نظر فنی، این بدافزار برای حفظ پایداری (Persistence)، قابلیت نصب مجدد خود از طریق پارتیشن /oem/ را پس از هر بار Reboot داشت، که باعث می‌شد حذف ساده بسته‌های نرم‌افزاری برای رفع سرایت بی‌اثر باشد. همچنین، ارتباطات این بات‌نت از پروتکل سبک MQTT و دامنه mqtt.szbboys[.]com روی پورت‌های ۳۸۸۵ تا ۳۸۸۷ صورت می‌گرفت.
این عملیات متوقف‌سازی با همکاری گسترده‌ای میان گوگل، آژانس پلیس ملی ژاپن (Japan’s National Police Agency) و چندین شرکت امنیتی پیشرو انجام شد تا دسترسی عامل تهدید به زیرساخت‌های کنترل و فرمان (C2) و سرورهای مدیریت بات‌نت به‌طور کامل قطع شود.
به‌روزرسانی (نوامبر 3, 2026 — SecurityWeek)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که ابعاد عملیات بات‌نت XCPE بسیار گسترده‌تر از برآوردهای اولیه است. در حالی که ۱.۳ میلیون دستگاه Android Set-top Box مستقیماً آلوده شده بودند، قطع دسترسی به سرورهای فرمان و کنترل (C&C)، احتمالاً دسترسی به ۱۰ میلیون دستگاه دیگر را نیز که از ماژول‌های مشابه استفاده می‌کردند، قطع کرده است.
از نظر فنی، این بدافزار از یک معماری سه‌مرحله‌ای (Three-stage architecture) بهره می‌برد که در آن بک‌دور اصلی در پارتیشن /oem/ مستقر می‌شود. این ساختار شامل یک موتور اجرا و بارگذار (Loader) و ماژول‌های درآمدزایی (Monetization modules) است که امکان بارگذاری بدافزارهای اضافی و اجرای عملیات‌های تقلب تبلیغاتی (Ad fraud) یا استخراج داده را فراهم می‌کرد.
این عملیات موفقیت‌آمیز با همکاری نهادهای بین‌المللی از جمله پلیس ملی ژاپن (National Police Agency) و شرکت Lumen، به همراه چندین شرکت امنیتی دیگر انجام شد تا زیرساخت‌های این شبکه از بین برود.
به‌روزرسانی (نوامبر 3, 2026 — Security Affairs)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که شرکت Videostrong به‌جای یک خطای برنامه‌نویسی ساده، به‌طور عمدی بات‌نت XCPE را با هدف کسب سود مالی توسعه داده است. این شرکت با فروش دسترسی به گروه‌های مجرم، ماژول‌های مخرب مختلفی را روی دستگاه‌های آلوده نصب می‌کرد تا از آن‌ها برای تقلب در تبلیغات (Ad Fraud) و ایجاد شبکه‌های پروکسی غیرقانونی استفاده کند.
این بدافزار در سه مرحله عمل می‌کند: ابتدا یک Backdoor اصلی (با نام‌های x.cpe یا com.oemservice) که در Firmware پیش‌فرض قرار دارد، سپس یک Loader (با نام com.abc.nexus) و در نهایت ماژول‌های مخرب مختلف. نکته بسیار مهم از نظر Persistence (پایداری)، این است که اگر کاربر سعی کند Backdoor اصلی را حذف کند، این بدافزار مجدداً از پارتیشن /oem/ در هنگام بوت بعدی خود را بازنشانی می‌کند.
عملیات مقابله با این تهدید با همکاری نهادهای بین‌المللی از جمله پلیس ملی ژاپن، Lumen، HUMAN Security، Plume، Synthient و TrendAI انجام شده است. گوگل تخمین می‌زند که این عملیات می‌تواند دسترسی مجرمان به بیش از ۱۰ میلیون دستگاه دیگر را نیز قطع کند.
به‌روزرسانی (نوامبر 3, 2026 — infosecurity-magazine.com)
به‌روزرسانی: گزارش‌های تکمیلی نشان می‌دهد که عملیات گوگل منجر به قطع دسترسی عاملان تهدید به بیش از ۱۰ میلیون دستگاه آلوده شده است. بدافزار XCPE (با نام فایل x.cpe) با سطح دسترسی android.uid.system اجرا می‌شد و برای حفظ پایداری (Persistence)، در صورت حذف توسط کاربر، خود را از پارتیشن /oem/ مجدداً نصب می‌کرد.
این بات‌نت برای دریافت دستورات از سرورهای C2 از پروتکل MQTT استفاده می‌کرد که به مهاجمان اجازه می‌داد اسکریپت‌های Shell را اجرا کرده، قابلیت Google Play Protect را غیرفعال کنند و اپلیکیشن‌های مخرب را به‌صورت مخفیانه نصب نمایند.
علاوه بر اندروید باکس‌ها، دستگاه‌های پزشکی (Telehealth)، ماشین‌های کارائوکه و تابلوهای دیجیتال نیز هدف قرار گرفته بودند. این زیرساخت از طریق همکاری با ارائه‌دهندگان پروکسی‌های مسکونی مانند Linkfog و NetNut برای فعالیت‌هایی نظیر کلاهبرداری‌های تبلیغاتی (Ad-fraud) و حملات DDoS مورد استفاده قرار می‌گرفت.
