1,3 milionu televizních boxů pod kontrolou hackerů

1,3 milionu televizních boxů s Androidem pod kontrolou hackerů. Zadní vrátka do zařízení zabudoval přímo výrobce

Představte si, že si koupíte televizní box s Androidem, připojíte ho k televizi i domácí Wi-Fi síti a začnete ho používat. Žádné podezřelé aplikace, žádné klikání na pochybné odkazy. Přesto může vaše zařízení pracovat pro kyberzločince, aniž byste o tom měli nejmenší tušení. Google odhalil rozsáhlý botnet, do kterého bylo zapojeno více než 1,3 milionu zařízení ve více než 200 zemích. Na případu je přitom nejzávažnější jedna věc: škodlivý kód do zařízení podle zjištění Googlu záměrně instaloval přímo výrobce. Pomůže jen radikální řešení.

Zadní vrátka přímo od výrobce

Právě tak fungoval botnet XCPE, na který upozornila bezpečnostní skupina Google Threat Intelligence Group 2. listopadu 2026. Podle jejích zjištění stála za jeho provozem společnost Videostrong Technology Co. Google zjistil, že firma zadní vrátka nejen vyvinula a do zařízení instalovala, ale také jejich prostřednictvím dlouhodobě vydělávala.

Nešlo přitom o klasickou infekci, při které uživatel stáhne škodlivou aplikaci nebo otevře přílohu podvodného e-mailu. Malware označovaný jako x.cpe, v některých verzích také com.oemservice, byl součástí systémového firmwaru zařízení. Výrobce navíc využil techniku, která měla škodlivý kód skrýt před bezpečnostními a kompatibilními kontrolami Googlu. Do zařízení se načetl až po jeho prvním spuštění.

Výsledkem byla trvalá přítomnost škodlivého kódu s vysokými systémovými oprávněními. Po zapnutí zařízení navázalo spojení se vzdálenou řídicí infrastrukturou a čekalo na další instrukce. Útočníci tak získali možnost instalovat další software, spouštět systémové příkazy nebo na dálku ovládat některé funkce přístroje.

Televize jako součást kriminální infrastruktury

Provozovatelé botnetu zařízení nevyužívali pouze pro vlastní potřebu. Přístup k nim prodávali dalším kriminálním skupinám, které na napadené boxy nahrávaly vlastní škodlivé moduly. Celý ekosystém tak fungoval jako služba, ve které výrobce poskytoval infrastrukturu a další útočníci ji využívali k různým druhům podvodů.

Jedním z hlavních způsobů zpeněžení byly reklamní podvody. Napadená zařízení dokázala na pozadí simulovat zobrazování reklam a generovat falešná zobrazení či interakce. Inzerenti a reklamní systémy tak mohli platit za aktivitu, která ve skutečnosti nikdy neproběhla.

Další využití představovaly takzvané rezidenční proxy sítě. Napadený televizní box přeposílal internetový provoz třetích stran přes připojení svého majitele. Navenek pak komunikace vypadala, jako by pocházela z běžné domácí internetové přípojky.

Možnosti útočníků ale sahaly ještě dál. Podle analýzy Googlu dokázali pořizovat snímky obrazovky, simulovat stisky kláves, získávat informace o účtech, instalovaných aplikacích a samotném zařízení nebo spouštět libovolné příkazy. Malware dokázal také vypnout ochranu Google Play Protect a bez vědomí uživatele instalovat další škodlivý software.

Nešlo jen o televizní boxy

Ačkoli většinu napadených zařízení tvořily televizní boxy s Androidem, bezpečnostní analytici zaznamenali škodlivý kód také v dalších typech zařízení, např. zdravotnická zařízení pro vzdálenou péči nebo digitální informační panely. Problém tak nelze vnímat jen jako záležitost levné spotřební elektroniky.

Z pohledu kybernetické bezpečnosti je pak zásadní, že uživatel nemusí mít žádnou možnost rozpoznat, že je zařízení kompromitované. Funguje zdánlivě normálně, přehrává obsah a plní svůj účel. Jen při tom může současně vykonávat příkazy někoho úplně jiného.

Google odstavil infrastrukturu. Infekce ale nezmizela. Rada? Vyhodit!

Google ve spolupráci s bezpečnostními společnostmi a japonskou policií zasáhl proti řídicí infrastruktuře botnetu. Odstavil domény a servery, které útočníci využívali ke komunikaci s napadenými zařízeními a distribuci dalších škodlivých modulů. Zároveň ukončil spolupráci se společností Videostrong a zakázal jí i jejím budoucím přidruženým společnostem vyrábět certifikovaná zařízení s předinstalovanými aplikacemi Googlu nebo dodávat software dalším certifikovaným výrobcům.

Alarmující je také rozsah zásahu. Google uvádí, že odstavení řídicích domén používaných partnerskými škodlivými moduly může přerušit přístup nejméně k dalším deseti milionům kompromitovaných zařízení, která byla prostřednictvím XCPE infikována jinými cestami.

Problém nelze řešit ani běžným továrním resetem. Backdoor je uložen v systémovém oddílu firmwaru a při pokusu o jeho odinstalování se po restartu znovu nainstaluje. U zařízení, u kterých je infekce potvrzená, je proto doporučeným postupem odpojení od internetu a výměna za bezpečné zařízení.

Bezpečnost začíná už u výrobce

Pro domácnosti i firmy z toho plyne několik praktických doporučení. Vyplatí se vybírat zařízení od důvěryhodných výrobců, ověřovat jejich původ a podporu aktualizací a vyhýbat se podezřele levným produktům nejasného původu. Ve firemním prostředí je navíc důležité nepřipojovat každé zařízení automaticky do stejné sítě jako pracovní počítače, servery nebo další kritickou infrastrukturu. Segmentace sítě může omezit následky případného kompromitování, i když samotnou infekci neodstraní.

Příběh více než milionu napadených televizních boxů ukazuje, že kybernetický útok nemusí začínat chybou uživatele. Někdy stačí koupit zařízení, kterému důvěřujete – a právě tato důvěra se stane nejslabším článkem celého zabezpečení.