Trong báo cáo công bố ngày 02/11/2026, nhóm nghiên cứu an ninh mạng của Google cho biết đã phối hợp với các đối tác triệt phá mạng lưới XCPE trong tuần trước đó. Mạng lưới này gồm hơn 1,3 triệu thiết bị nhiễm mã độc, chủ yếu là đầu thu truyền hình chạy Android. Cơ quan Cảnh sát Quốc gia Nhật Bản cùng các doanh nghiệp bảo mật như TrendAI, HUMAN Security, Lumen, Plume và Synthient tham gia phân tích, ngăn chặn hoạt động của hệ thống.
Một tập hợp thiết bị bị chiếm quyền và điều khiển từ xa như vậy được gọi là botnet. Trong vụ việc này, người mua vẫn có thể dùng thiết bị để xem nội dung như bình thường, trong khi kẻ vận hành âm thầm khai thác nó cho những mục đích khác. Vì hoạt động diễn ra phía sau màn hình, người dùng khó nhận biết mình đã trở thành một phần của mạng lưới.
Theo đánh giá của Google, Videostrong Technology, doanh nghiệp sản xuất thiết bị có trụ sở tại Thâm Quyến, Trung Quốc, đã chủ ý phát triển, cài đặt và vận hành XCPE để kiếm tiền. Mã độc nằm trong phần mềm hệ thống, tức lớp phần mềm điều khiển các chức năng cơ bản của thiết bị. Điều này khác với trường hợp người sử dụng tự tải nhầm một ứng dụng độc hại sau khi mua máy.
Điểm đáng chú ý là Videostrong từng nằm trong mạng lưới đối tác phần cứng của Google. Các thiết bị do một nhà sản xuất cung cấp còn có thể được đơn vị khác mua lại, gắn thương hiệu riêng rồi đưa ra thị trường. Vì vậy, mã độc có thể xuất hiện dưới nhiều nhãn hàng, khiến người mua khó xác định nguồn gốc chỉ bằng tên ghi trên vỏ hộp. Ngoài đầu thu truyền hình, báo cáo còn ghi nhận các loại thiết bị Android khác bị ảnh hưởng, như máy karaoke và thiết bị phục vụ khám chữa bệnh từ xa.
XCPE hoạt động như một lối vào bí mật, cho phép bên ngoài cài thêm phần mềm mà chủ thiết bị không hay biết. Từ đó, các bên liên quan có thể lợi dụng thiết bị để gian lận quảng cáo hoặc dùng đường truyền Internet của gia đình làm điểm trung chuyển cho hoạt động trên mạng.
Chẳng hạn, thay vì truy cập trực tiếp từ hệ thống của mình, một bên thứ ba có thể đưa dữ liệu đi qua thiết bị trong nhà nạn nhân. Bên nhận sẽ nhìn thấy kết nối từ đường truyền của hộ gia đình, khiến việc lần tìm nguồn phát ban đầu khó hơn. Cách dùng kết nối nhà dân làm trạm trung chuyển này thường được gọi là “proxy dân cư”.
Với gian lận quảng cáo, phần mềm độc hại có thể tạo ra lượt xem hoặc tương tác giả để thu lợi, trong khi người sở hữu thiết bị không thực sự xem hay bấm vào quảng cáo đó. Như vậy, chiếc đầu thu không chỉ phục vụ nhu cầu giải trí mà còn bị biến thành công cụ kiếm tiền cho người khác, sử dụng chính tài nguyên và kết nối Internet của chủ máy.
Google đã thực hiện các biện pháp pháp lý để vô hiệu hóa tên miền và máy chủ điều khiển mạng lưới. Hãng đồng thời chấm dứt quan hệ với Videostrong, cấm doanh nghiệp này sản xuất thiết bị Android được chứng nhận hoặc cung cấp phần mềm cho các nhà cung cấp được chứng nhận khác. Google cũng cho biết đang cải thiện quy trình kiểm tra phần mềm hệ thống để hạn chế sự việc tương tự.
Việc cắt đứt máy chủ điều khiển làm gián đoạn hoạt động của mạng lưới, nhưng không đồng nghĩa mọi thiết bị đã được làm sạch. Google lưu ý hệ sinh thái mã độc vẫn liên tục thay đổi, nên cần tiếp tục theo dõi và xử lý các hạ tầng liên quan.
Vân Anh
