Pe scurt: Google a anunțat pe 2 noiembrie 2026 că a destructurat botnetul XCPE. Backdoorul era preinstalat în firmware-ul a peste 1,3 milioane de dispozitive Android, majoritatea boxe Android TV. Compania acuză producătorul chinez Videostrong Technology că a creat intenționat backdoorul, pentru profit, și i-a interzis să mai producă dispozitive Android certificate. Pe un box Android TV poți verifica din Magazin Google Play dacă Play Protect e activ.
Anunțul vine de la Google Threat Intelligence Group, echipa de securitate a companiei, într-un raport tehnic publicat luni. Potrivit Google, nu e vorba de o aplicație descărcată din greșeală de utilizatori. Codul malițios era integrat din fabrică, în partiția de firmware, și se reinstala automat după repornire, chiar dacă utilizatorul reușea să-l dezinstaleze.
Pentru cititorii din România, subiectul contează pentru că boxele Android TV ieftine, fără marcă cunoscută, se vând des pe marketplace-uri și în magazine online mici. Google nu a publicat o listă de mărci sau modele afectate, așa că cea mai sigură verificare rămâne certificarea Play Protect a dispozitivului.
Ce este botnetul XCPE și ce făcea pe dispozitive?
XCPE este un backdoor cu drepturi de sistem, adică are acces aproape complet la dispozitiv. Conform raportului, operatorii vindeau accesul la el unor „afiliați” infracționali, care încărcau propriile module. Acestea făceau fraudă cu reclame, transformau dispozitivele în noduri de proxy rezidențial, prin care alții își rutau traficul pe internet, și instalau alte programe malițioase.
Pe lângă boxele TV, Google a găsit backdoorul și pe alte dispozitive cu Android: echipamente de telemedicină, aparate de karaoke și ecrane pentru publicitate digitală. Raportul mai arată că malware-ul dezactiva Google Play Protect, ca aplicațiile instalate în fundal să nu mai fie verificate.
| Ce s-a întâmplat | Detalii din raportul Google |
|---|---|
| Data anunțului | 2 noiembrie 2026 |
| Dispozitive înrolate prin XCPE | Peste 1,3 milioane, majoritatea boxe Android TV |
| Dispozitive compromise suplimentar, la care accesul a fost tăiat | Cel puțin 10 milioane, estimarea Google |
| Producătorul acuzat | Videostrong Technology Co., din Shenzhen |
| Sancțiunea Google | Interdicție de a produce sau vinde dispozitive Android certificate și de a furniza software altor producători certificați |
| Parteneri în anchetă | Poliția Națională a Japoniei, Lumen, HUMAN Security, Plume, Synthient și TrendAI |
De ce spune Google că producătorul a făcut-o intenționat?
Raportul spune că Google evaluează „cu încredere mare” că Videostrong a dezvoltat, a distribuit și a operat backdoorul cu bună știință, pentru câștig financiar. Compania exclude explicit ipoteza unui angajat care a acționat pe cont propriu sau a unei erori de dezvoltare. „Un producător de dispozitive care își infectează intenționat utilizatorii cu malware reprezintă o încălcare inacceptabilă a încrederii”, scrie Google în raport.
Potrivit Google, codul malițios era încărcat abia după prima pornire a dispozitivului și ascuns prin tehnici de obfuscare. Așa au fost ocolite testele de compatibilitate și securitate pe care Google le face înainte de certificare. Compania spune că a schimbat procesul de verificare a producătorilor și că a îmbunătățit verificarea integrității firmware-ului pe dispozitivele Android TV certificate.
Cum verifici dacă boxul tău Android TV e certificat?
Google recomandă, în raport, să cumperi dispozitive conectate doar de la producători de încredere și trimite la lista oficială a partenerilor Android TV certificați, de pe android.com/certified/partners. Pagina de asistență Google Play descrie verificarea certificării astfel: deschizi Magazin Google Play, atingi pictograma profilului, intri în Setări, apoi în Despre. Acolo apare dacă dispozitivul este certificat Play Protect.
Dacă vezi mesajul că dispozitivul nu este certificat, Google explică pe aceeași pagină că acesta poate să nu fie sigur, poate să nu primească actualizări de sistem și aplicații, iar aplicațiile Google de pe el nu sunt licențiate și nu sunt autentice. Pagina mai spune că dezactivarea Play Protect nu rezolvă problema certificării.
Cum activezi Play Protect pe Android TV?
Pe Android TV și Google TV cu Android 11 sau o versiune mai nouă, deschizi Magazin Google Play, intri în meniu, apoi la Play Protect și Setări, și verifici că opțiunea „Scanează aplicațiile cu Play Protect” este activată. Pe Android TV cu Android 10 sau mai vechi, mergi la Setări, Aplicații, Securitate și restricții și verifici opțiunea „Confirmă aplicațiile”. Pașii sunt cei din pagina oficială de asistență Android TV, verificați pe 3 noiembrie 2026.
Pe dispozitivele infectate cu XCPE, raportul arată că Play Protect era oprit de malware. Dacă îl găsești dezactivat fără să-l fi oprit tu, e un semnal de alarmă.
Ce faci dacă ai un box TV necertificat?
Google recomandă prudență cu aplicațiile care promit bani pentru „lățimea de bandă neutilizată” sau pentru „partajarea conexiunii la internet”, instalarea aplicațiilor doar din magazine de încredere și verificarea permisiunilor aplicațiilor VPN și proxy de la terți. În raport apare și aplicația YokaTV Player, asociată ecosistemului Videostrong.
Pentru că backdoorul XCPE stătea în firmware și se reinstala singur, ștergerea unei aplicații nu ajunge pe un dispozitiv compromis. Dacă boxul nu este certificat și nu apare la un producător din lista Google, cea mai simplă soluție este să-l deconectezi de la rețea și să folosești un dispozitiv certificat. Am scris recent și despre cum îți protejezi boxele Android TV de atacurile automate. Pentru televiziune legală pe dispozitive certificate există variante precum Digi Online, cu canale și dispozitive compatibile. Iar dacă îți cumperi un box nou de Black Friday, regulile DNSC contra fraudelor la cumpărăturile online te ajută să eviți și magazinele false.
Citești des GadgetReport.ro? Adaugă-ne ca sursă preferată pe Google, iar știrile noastre îți vor apărea mai des în Top Stories.
