Một vụ việc nghiêm trọng trong ngành thiết bị điện tử vừa được Google phát hiện khi hơn 1,3 triệu TV Box bị cài sẵn phần mềm độc hại ngay từ nhà máy. Đáng chú ý, đơn vị đứng sau chiến dịch này không phải một nhóm hacker bên ngoài mà chính là Videostrong Technology, nhà sản xuất thiết bị có trụ sở tại Thâm Quyến, Trung Quốc. Công ty từng được Google chứng nhận trong hệ sinh thái Android TV, nhưng sau đó bị phát hiện chủ động tích hợp cửa hậu (backdoor) vào firmware để bán quyền truy cập thiết bị cho các nhóm tội phạm mạng.

Khác với những hình thức lây nhiễm mã độc thông thường, người dùng không cần tải ứng dụng lạ hay truy cập đường link đáng ngờ để trở thành nạn nhân. Phần mềm độc hại đã được đưa vào thiết bị từ trước khi xuất xưởng. Sau khi TV Box được bật lần đầu, mã độc mới tải xuống các thành phần cần thiết và kết nối với máy chủ điều khiển. Theo điều tra của Google, những kẻ tấn công có thể thực thi lệnh từ xa, cài đặt ứng dụng trái phép, thu thập thông tin thiết bị, chụp màn hình và khảo sát mạng nội bộ. Một số chức năng còn cho phép ghi nhận thao tác bàn phím và vô hiệu hóa cơ chế bảo vệ Google Play Protect.

Đặc biệt, các TV Box nhiễm mã độc còn có thể bị biến thành một phần của mạng proxy dân cư. Khi đó, địa chỉ IP Internet tại nhà của người dùng bị khai thác để chuyển tiếp lưu lượng truy cập cho bên thứ ba, bao gồm những hoạt động bất hợp pháp. Chủ thiết bị có thể hoàn toàn không nhận ra đường truyền Internet của gia đình đang bị sử dụng làm công cụ hỗ trợ tấn công mạng hoặc che giấu danh tính của tội phạm. Google nhận định đây không đơn thuần là lỗi phần mềm, mà là hành vi có chủ đích được duy trì trong thời gian dài, với hệ thống máy chủ và cấu hình mã độc liên tục thay đổi để tránh bị phát hiện.

Thủ đoạn đáng chú ý của Videostrong nằm ở cách qua mặt quy trình chứng nhận. Dù cửa hậu đã được tích hợp trong firmware, các thành phần nguy hiểm chỉ được tải xuống hoặc kích hoạt sau khi thiết bị khởi động lần đầu. Nhờ vậy, TV Box vẫn có thể vượt qua những bước kiểm tra tương thích trước khi được đưa ra thị trường. Do mã độc nằm trong phân vùng hệ thống và sở hữu quyền truy cập cao, người dùng cũng khó loại bỏ hoàn toàn bằng cách gỡ ứng dụng hoặc khôi phục cài đặt thông thường. Thành phần độc hại thậm chí có thể tự cài đặt trở lại sau khi thiết bị khởi động.

Trước mức độ nghiêm trọng của vụ việc, Google đã chấm dứt hợp tác với Videostrong, thu hồi tư cách đối tác chứng nhận và cấm công ty cùng các đơn vị liên kết tiếp tục sản xuất thiết bị Android được cài sẵn ứng dụng Google. Hãng cũng triển khai các biện pháp pháp lý nhằm vô hiệu hóa tên miền và máy chủ điều khiển mạng botnet XCPE. Chiến dịch này còn giúp ngăn chặn ít nhất 10 triệu thiết bị khác liên lạc với các hệ thống tấn công thuộc những họ mã độc liên quan.

Tuy nhiên, việc vô hiệu hóa máy chủ điều khiển không đồng nghĩa toàn bộ TV Box nhiễm mã độc đã được làm sạch. Các thành phần độc hại vẫn có thể tồn tại trên thiết bị nếu chưa được xử lý triệt để. Vụ việc cho thấy chứng nhận Android TV hay Google TV không phải sự bảo đảm tuyệt đối về độ an toàn của sản phẩm. Người dùng nên thận trọng với những TV Box không rõ nguồn gốc, ưu tiên thiết bị từ nhà sản xuất uy tín và kiểm tra kỹ thông tin bảo mật trước khi kết nối chúng vào mạng gia đình.