Tóm tắt nhanh
- Google cùng các đối tác đã triệt phá hạ tầng điều khiển botnet XCPE, vốn ảnh hưởng hơn 1,3 triệu TV Box Android.
- Google quy trách nhiệm với độ tin cậy cao cho Videostrong Technology, nhà sản xuất thiết bị mang thương hiệu Mecool và sản xuất OEM.
- Backdoor nằm trong firmware, có quyền hệ thống và có thể tự cài lại sau khi khởi động; khôi phục cài đặt gốc không đủ để loại bỏ nó.
- Người dùng Việt Nam đang sở hữu TV Box Mecool nên cân nhắc ngắt Internet và kiểm tra model trước khi tiếp tục sử dụng.
Google đã triệt phá botnet XCPE sau khi phát hiện một đối tác sản xuất TV Box Android cài sẵn backdoor vào firmware của nhiều thiết bị. Quy mô được ghi nhận vượt 1,3 triệu máy; hoạt động này cũng khiến Google phải sửa quy trình kiểm định chứng nhận Android TV.
Backdoor nằm sẵn trong firmware, không phải do người dùng cài nhầm
XCPE khác với kiểu mã độc thường lây qua ứng dụng giả hoặc lỗ hổng mà kẻ tấn công khai thác từ xa: mã độc được đưa vào thiết bị ngay trong quá trình sản xuất. Google Threat Intelligence Group (GTIG) quy chiến dịch cho Videostrong Technology Co. với độ tin cậy cao, đồng thời cho biết công ty này phát triển mã độc qua nhiều năm và nhiều mẫu máy.
Thành phần chính được theo dõi với tên x.cpe và com.oemservice chạy ở cấp hệ thống Android. Khi thiết bị kết nối với máy chủ điều khiển, bên vận hành có thể tải và cài ứng dụng âm thầm, tắt Google Play Protect hoặc chạy lệnh hệ thống. Các module liên quan còn biến thiết bị thành proxy dân dụng, chuyển tiếp lưu lượng Internet qua kết nối gia đình mà chủ nhà không biết; một số module khác thực hiện gian lận quảng cáo hoặc cài thêm mã độc.
TrendAI ghi nhận 1.472.554 thiết bị nhiễm trên 206 mẫu máy trong khoảng từ ngày 3/6 đến 1/10. Đây là số lượng quan sát được trong giai đoạn nêu trên, không phải tổng số thiết bị chắc chắn bị ảnh hưởng trên mọi thời điểm.
Chứng nhận Android TV không phát hiện được mã độc sau lần khởi động đầu
Vụ việc cho thấy tem chứng nhận không thể bảo đảm tuyệt đối firmware luôn sạch. Google cho biết nhà sản xuất đã dùng kỹ thuật làm rối để vượt qua khâu kiểm tra, rồi tải mã độc sau lần khởi động đầu tiên của thiết bị. Vì vậy, quá trình kiểm định chỉ nhìn vào trạng thái máy trước khi giao đến người dùng có thể bỏ lọt hành vi được kích hoạt muộn hơn.
Google đã chấm dứt quan hệ với Videostrong, thu hồi quyền sản xuất thiết bị Android TV có sẵn ứng dụng và dịch vụ Google, đồng thời cấm công ty cùng các đơn vị liên quan cung cấp phần mềm cho đối tác được chứng nhận. Hãng cũng cho biết sẽ điều chỉnh quy trình đánh giá để phát hiện kiểu tải mã độc sau lần khởi động đầu tiên.
Ngắt máy khỏi mạng an toàn hơn khôi phục cài đặt gốc
Google và các đối tác đã chặn máy chủ điều khiển XCPE cùng hạ tầng của hơn một tá họ mã độc liên quan; theo Google, việc này cắt quyền truy cập tới ít nhất 10 triệu thiết bị bị xâm nhập khác. Tuy nhiên, gỡ máy chủ điều khiển không đồng nghĩa mã độc đã bị xóa khỏi từng TV Box. Backdoor có thể được khôi phục từ phân vùng /oem/ sau mỗi lần khởi động, nên reset máy về mặc định không xử lý tận gốc vấn đề.
Nếu đang dùng Mecool KM9PRO Max hoặc TV Box thuộc diện ảnh hưởng, hãy ngắt thiết bị khỏi Internet và tránh đăng nhập tài khoản nhạy cảm trên đó. Không nên tự tải firmware không rõ nguồn để cài lại: firmware sai có thể làm thiết bị mất khả năng khởi động, còn bản cài không đáng tin có thể mang thêm rủi ro. Synthient, đơn vị truy ra backdoor trên một chiếc MECOOL KM9PRO Max mua cuối năm 2025, còn khuyên người dùng bỏ hẳn những thiết bị này; trường hợp muốn giữ lại thì chỉ kết nối mạng trở lại khi có firmware sạch do nhà sản xuất hoặc một nguồn hỗ trợ đáng tin xác nhận.
Người mua TV Box tại Việt Nam nên kiểm tra model và nguồn firmware
Các mẫu Mecool như KM2, KM7 và KM9 Pro Max được bán tại Việt Nam, nhưng danh sách thiết bị Synthient tổng hợp lưu ý rằng chỉ riêng tên model chưa đủ để kết luận máy đã nhiễm XCPE. Vì vậy, không nên suy rộng cảnh báo cho mọi TV Box Android hoặc mọi thiết bị Mecool chỉ dựa vào thương hiệu; model, phiên bản firmware và nguồn gốc máy mới là những thông tin cần đối chiếu.
Rủi ro đáng lưu ý không chỉ là quảng cáo gian lận: một TV Box bị chiếm quyền có thể đưa lưu lượng Internet qua địa chỉ IP tại nhà, khiến hoạt động của bên thứ ba bị gắn với kết nối của chủ hộ. Với thiết bị không còn được cập nhật hoặc không có kênh hỗ trợ firmware rõ ràng, lựa chọn ít rủi ro hơn là ngừng kết nối mạng cho đến khi có hướng xử lý đáng tin cậy.
Google đã chặn được hạ tầng điều khiển, nhưng việc đó không tự làm sạch firmware trên từng thiết bị. Người dùng nên kiểm tra đúng model đang sở hữu và ưu tiên ngắt mạng nếu nghi thiết bị thuộc diện ảnh hưởng; khôi phục cài đặt gốc không phải biện pháp loại bỏ backdoor này.
Nguồn tham khảo: Google Threat Intelligence Group, BleepingComputer, The Hacker News, 9to5Google.
