Mere end 1,3 millioner tv-bokse og andre Android-enheder blev leveret med skjult software, der lod en operatør udnytte ejernes internetforbindelser uden deres viden.
En international indsats har ramt netværket, men de berørte enheder er stadig inficerede, viser en undersøgelse fra det japanske cybersikkerhedsselskab TrendAI.
En tv-boks kunne vise ejerens yndlingsserie, mens den samtidig tjente penge til en operatør i baggrunden. Det viser en undersøgelse fra TrendAI, som gennem flere måneder leverede efterretninger til en indsats mod et botnet med mere end 1,3 millioner præinficerede Android-enheder.
Netværket omfattede blandt andet tv-bokse og projektorer. Enhederne blev leveret med en forudinstalleret softwareagent kaldet x.cpe, som gav operatøren mulighed for at fjernstyre dem. Efter aktivering kunne agenten hente yderligere software og tilmelde enhederne tjenester, der udnyttede deres internetforbindelser – uden ejernes samtykke.
Indsatsen ramte de centrale servere, der styrede netværket. Google har desuden permanent udelukket producenten samt fremtidige datterselskaber og tilknyttede selskaber fra at fremstille og sælge certificerede Android-enheder eller levere software til andre certificerede producenter.
Tv-boksen kunne tjene penge, mens ejeren så fjernsyn
Ifølge TrendAI blev enhederne blandt andet brugt til annoncesvindel og som knudepunkter i såkaldte residential proxy-netværk. Her sendes andres internettrafik gennem en privat husstands forbindelse.
Det betyder, at trafikken udadtil kommer fra en almindelig privat internetadresse. Det kan hjælpe kriminelle med at fremstå som lokale kunder og passere kontroller, der bygger på internetadressens omdømme eller geografiske placering.
Operatøren kunne også tilmelde enhederne tjenester, der betaler for båndbredde, uden at vise ejeren en anmodning om samtykke. Den samme tv-boks kunne dermed skabe indtægter på flere måder, mens ejeren blot oplevede en fungerende streamingenhed.
206 modeller i 170 lande ramt
TrendAI undersøgte operationen fra juni til oktober 2026 og registrerede 1.472.554 inficerede enheder fordelt på 206 modeller i mere end 170 lande.
Partnernes optællinger varierer afhængigt af tidspunktet for målingerne og deres indblik i netværket. Derfor er det fælles offentliggjorte tal mere end 1,3 millioner enheder.
Omkring 1,33 millioner enheder var udvalgt til at modtage moduler til proxytrafik og annoncesvindel. Undersøgelsen registrerede desuden mere end 3,8 millioner forskellige private og mobile internetadresser over fire måneder. Det er adresser observeret over tid og ikke et særskilt antal inficerede enheder.
Operatøren kunne installere apps uden at spørge
Den forudinstallerede agent fremstod som almindelig software til fjernadministration. Den lå i firmware fra en producent i Shenzhen, som fremstiller Android-enheder til forskellige mærker.
Agenten brugte teknikker til at skjule sin funktion og undgå sikkerhedstest før salget. Den gav operatøren mulighed for blandt andet at installere og fjerne apps uden brugerens viden, ændre indstillinger og sende opdateringer til enhederne.
TrendAI observerede også et script, der slog Google Play Protect fra på et stort antal enheder. Google har efterfølgende ændret sin kontrolproces for bedre at beskytte mod lignende aktivitet.
Softwaren ligger stadig på enhederne
Operationen var afhængig af to centrale servere: En server leverede oplysninger om, hvordan enhederne skulle oprette forbindelse, mens en anden blev brugt til styring. Fjernelsen af serverne afskar operatøren fra enhederne gennem denne infrastruktur.
Den skadelige software ligger dog fortsat på de berørte bokse. Ifølge TrendAI kan ejerne ikke selv fjerne implantatet, fordi det kører som en systemapp, der er signeret med producentens nøgle. En løsning kræver handling fra producenten, beskyttelse fra platformen eller udskiftning af enheden.
TrendAI understreger samtidig, at operatører af denne type tidligere har genopbygget deres aktiviteter på ny infrastruktur.
Risikoen rækker ind i virksomheder
Sagen har også betydning for virksomheder. Når misbrug skjules bag en privat internetforbindelse, kan trafikken ligne almindelig aktivitet fra en kunde eller en medarbejder, der arbejder hjemmefra. Virksomheder kan derfor ikke stoppe denne trafik ved blot at blokere internetadresser fra datacentre.
Hvis en kompromitteret enhed er tilsluttet en virksomheds netværk, kan den desuden give en angriber adgang til det interne netværk.
TrendAI anbefaler blandt andet, at virksomheder kombinerer oplysninger om netværkstrafikken med adfærdssignaler, eksempelvis gentagne mislykkede loginforsøg, frem for alene at stole på internetadressens omdømme.
Til forbrugere lyder anbefalingen at være forsigtige ved køb af billige Android-enheder og undgå tv-bokse uden tydeligt mærke eller certificering samt apps, der betaler for deling af båndbredde. Forhandlere og markedspladser bør kræve certificeret firmware fra deres leverandører.
Læs mere her:
Om TrendAI
TrendAI er en japansk cybersikkerhedsvirksomhed og en del af Trend Micro. Virksomheden hjælper organisationer med at skabe overblik over, styre og beskytte deres anvendelse af AI og samle cybersikkerheden på tværs af organisationen. TrendAI leverer sikkerhedsløsninger til virksomheder og myndigheder i 185 lande og beskytter blandt andet identiteter, infrastruktur, data, AI-applikationer og autonome AI-agenter. Gennem samarbejder med teknologivirksomheder som NVIDIA, Anthropic, AWS, Google og Microsoft hjælper TrendAI organisationer med at anvende AI sikkert.
Læs mere på www.trendaisecurity.com.
