كشفت مجموعة Google Threat Intelligence عن تفكيك البنية الرئيسية لشبكة XCPE، وهي شبكة خبيثة ضمت أكثر من 1.3 مليون جهاز استقبال متصلًا بالإنترنت. ووفقًا لجوجل، كان الباب الخلفي مدمجًا داخل البرامج الثابتة لبعض الأجهزة قبل وصولها إلى المستخدم، ما يحول التلفاز الصغير إلى نقطة خروج للشبكات الوكيلة وأداة للاحتيال الإعلاني دون علم صاحبه.
نسبت جوجل تطوير الباب الخلفي وتشغيله إلى شركة Videostrong Technology، وهي مُصنع أصلي لأجهزة Android. كما أوضحت أن البرمجية ظهرت داخل طرازات وعلامات مختلفة عبر عدة سنوات، ثم حملت وحدات إضافية بعد أول تشغيل للجهاز مستغلة ثغرة في اختبارات الاعتماد.
حصل المكون الأساسي x.cpe على صلاحيات نظام، وظهر في بعض الإصدارات باسم com.oemservice. وحتى إذا حذفه المستخدم، كان يعيد تثبيت نفسه بعد إعادة التشغيل من قسم البرامج الثابتة. ثم يتصل بخوادم التحكم لتثبيت تطبيقات بصمت وتنفيذ أوامر وجمع لقطات شاشة وفحص الشبكة المحلية.
استخدم المشغلون الأجهزة المصابة كعُقد لشبكات وكيلة سكنية، ومنصات للاحتيال الإعلاني، وقنوات لتنزيل برمجيات إضافية. وتقدر جوجل أن تعطيل خوادم التحكم المرتبطة بالوحدات التابعة سيقطع وصول المهاجمين إلى 10 ملايين جهاز آخر على الأقل، وهو تقدير للشركة وليس إحصاءً مستقلًا للأجهزة المصابة بـ XCPE نفسها.
رفعت جوجل دعاوى لتعطيل النطاقات والخوادم المستخدمة في التحكم، ومنعت Videostrong والشركات التابعة المستقبلية من تصنيع أجهزة Android معتمدة أو تزويد مصنعين آخرين بالبرمجيات. أعلنت الشركة أيضًا تعديل مراجعات سلامة البرامج الثابتة في أجهزة Android TV المعتمدة.
أكدت Trend Micro، إحدى الجهات المشاركة في عملية التفكيك، أن الشبكة ظهرت في أكثر من 200 دولة، بالتعاون مع Plume و Lumen و HUMAN Security و Synthient والشرطة اليابانية. أشارت تقارير تقنية إلى أن تعطيل الخوادم يقلل الخطر المباشر، لكنه لا يعني بالضرورة إزالة المكون المزروع من البرامج الثابتة.
لا تنشر جوجل في بيانها قائمة استهلاكية كاملة بكل الطرازات المتأثرة، ولذلك لا يصح افتراض إصابة كل جهاز Android TV أو كل جهاز استقبال منخفض السعر. كما أن وجود اعتماد Google Play لا يكفي وحده لنفي الإصابة في هذه الواقعة، لأن جوجل تقول إن المهاجمين تجاوزوا جزءًا من اختبارات الاعتماد.
إذا كان جهازك ضمن قائمة أكدها المصنع أو الباحثون لاحقًا، فلا تعتمد على حذف تطبيق غريب أو إعادة ضبط المصنع؛ فالمكون الأساسي كان يعيد تثبيت نفسه من قسم النظام. ابحث أولًا عن تحديث رسمي للبرامج الثابتة، وافصل الجهاز عن الشبكة إذا لم يوجد تحديث موثوق.
ضع أجهزة البث والاستقبال غير الموثوقة على شبكة منفصلة عن الحواسيب والهواتف ووحدات التخزين. راقب الاتصالات غير المعتادة من صفحة الراوتر، وقم بتحديث الجهاز والراوتر، ولا تثبت ملفات APK من متاجر مجهولة. إذا تأكدت إصابة طرازك ولم يوفر المصنع برنامجًا ثابتًا نظيفًا، فاستبدال الجهاز أكثر أمانًا من إعادة ضبطه فقط. وبعد عزل الجهاز، قم بتغيير كلمات مرور الحسابات الحساسة التي استخدمتها على الشبكة نفسها، خاصة إذا لاحظت نشاطًا غير مألوف.
أرى أن أخطر ما في الواقعة ليس حجم الشبكة وحده، بل وصول المكون الخبيث مع الجهاز من المصنع. تعطيل خوادم التحكم خطوة مهمة، لكنه لا يحول برنامجًا ثابتًا مصابًا إلى نظام موثوق؛ والحل الحقيقي يجب أن يكون تحديثًا قابلًا للتحقق أو استبدال الجهاز.
