Google cho biết, các mã độc này không phải là sai sót trong quá trình phát triển phần mềm mà là hành vi cố ý cài đặt của nhà sản xuất vào những thiết bị này.

Thay vì phải tìm cách xâm nhập từ bên ngoài, tội phạm mạng lần này có được quyền kiểm soát hàng triệu thiết bị ngay từ nhà máy. Đáng chú ý, chính nhà sản xuất đứng sau những chiếc TV Box này đã âm thầm cài cửa hậu vào sản phẩm, sau đó bán quyền truy cập cho các nhóm tội phạm. Những thiết bị từng được Google chứng nhận Android TV vì thế trở thành một mạng lưới phục vụ hoạt động lừa đảo và tấn công trên Internet.

Công ty bị phát hiện là Videostrong Technology, nhà sản xuất thiết bị điện tử có trụ sở tại Thâm Quyến, Trung Quốc. Đây từng là đối tác được Google chứng nhận trong hệ sinh thái Android TV. Tuy nhiên, cuộc điều tra của Google phát hiện Videostrong đã chủ động cài phần mềm độc hại vào firmware của hơn 1,3 triệu thiết bị, phần lớn là TV Box chạy Android TV và Google TV.

Khác với những vụ lây nhiễm mã độc thông thường, người dùng không cần tải ứng dụng đáng ngờ hay truy cập một đường link nguy hiểm. Cửa hậu đã được tích hợp ngay trong quá trình sản xuất, trước khi thiết bị đến tay khách hàng. Sau đó, Videostrong bán quyền truy cập vào các thiết bị này cho những nhóm tội phạm mạng, đồng thời hỗ trợ tải các mô-đun mã độc của bên thứ ba xuống máy.

Một khi bị kiểm soát, TV Box có thể bị biến thành công cụ phục vụ nhiều hoạt động bất hợp pháp. Kẻ tấn công có thể cài thêm ứng dụng mà người dùng không hay biết, thực thi lệnh từ xa, thu thập thông tin thiết bị và tài khoản, thậm chí khảo sát mạng nội bộ trong gia đình. Một số chức năng còn cho phép chụp màn hình, ghi nhận thao tác bàn phím và vô hiệu hóa cơ chế xác minh ứng dụng Google Play Protect.

Đáng lo ngại hơn, những chiếc TV Box này có thể bị biến thành một mắt xích trong mạng lưới proxy dân cư. Khi đó, địa chỉ IP Internet tại nhà của người dùng bị tận dụng làm điểm trung chuyển lưu lượng cho các hoạt động của tội phạm mạng. Chủ thiết bị có thể không hề biết đường truyền Internet của gia đình đang bị sử dụng cho những mục đích bất hợp pháp.

Google cho biết đây không phải hành vi riêng lẻ của một nhân viên hay sai sót trong quá trình phát triển phần mềm. Hệ thống mã độc được duy trì trong nhiều năm, đi kèm hạ tầng máy chủ riêng và các cấu hình liên tục thay đổi nhằm né tránh phát hiện. Từ cuối năm 2024, phần mềm độc hại đã phát triển thành kiến trúc gồm ba giai đoạn, cho phép triển khai linh hoạt nhiều mô-đun khác nhau.

Để qua mặt quy trình chứng nhận, Videostrong sử dụng một thủ thuật đáng chú ý: mã độc được cài sẵn trong firmware nhưng chỉ tải hoặc kích hoạt các thành phần nguy hiểm sau lần đầu người dùng bật thiết bị. Nhờ vậy, sản phẩm có thể vượt qua các bước kiểm tra tương thích và an toàn trước khi được cấp chứng nhận. Lỗ hổng này cũng khiến Google phải thừa nhận quy trình đánh giá thiết bị của mình còn những điểm chưa đủ chặt chẽ.

Một vấn đề khác là cửa hậu rất khó bị xóa bằng cách thông thường. Thành phần độc hại được đặt trong phân vùng hệ thống và hoạt động với quyền cao của Android. Ngay cả khi người dùng gỡ nó như một ứng dụng, mã độc vẫn có thể tự cài đặt trở lại sau khi thiết bị khởi động lại.

Trước quy mô vụ việc, Google đã chấm dứt quan hệ hợp tác với Videostrong, thu hồi tư cách đối tác chứng nhận và cấm công ty cùng các đơn vị liên kết sản xuất thiết bị Android được cài sẵn ứng dụng Google hoặc cung cấp phần mềm cho các nhà sản xuất đã được chứng nhận. Google cũng tiến hành các biện pháp pháp lý nhằm vô hiệu hóa những tên miền và máy chủ điều khiển mạng botnet XCPE.

Tuy nhiên, việc đánh sập máy chủ điều khiển không đồng nghĩa mã độc đã được xóa khỏi toàn bộ thiết bị. Biện pháp này chủ yếu cắt đứt khả năng liên lạc giữa kẻ tấn công và các máy bị nhiễm, qua đó ngăn chúng tiếp tục nhận lệnh từ xa. Google cho biết chiến dịch còn giúp chặn liên lạc của ít nhất 10 triệu thiết bị khác với những kẻ tấn công, thuộc các họ mã độc khác.

Vụ việc phơi bày một nghịch lý đáng lo ngại trong hệ sinh thái thiết bị thông minh: người dùng có thể mua một sản phẩm mang chứng nhận chính thức, nhưng điều đó không có nghĩa nhà sản xuất đứng sau luôn đáng tin cậy. Trong trường hợp của Videostrong, mối nguy hiểm không đến từ một ứng dụng mà người dùng vô tình cài đặt, mà xuất phát từ chính phần mềm được nhà sản xuất đưa vào thiết bị ngay từ đầu.