Google, Plume, TrendAI™, Lumen, HUMAN Security, Synthient và Cục Cảnh sát Quốc gia Nhật Bản đã phối hợp thực hiện chiến dịch, kết hợp chuyên môn nghiên cứu bảo mật, thông tin mối đe dọa và năng lực mạng để xác định và tiêu diệt mạng bot X.CPE.
Mountain View, California, Hoa Kỳ, ngày 2 tháng 11 năm 2026 /PRNewswire/ -- Hôm nay, một nhóm các đối tác từ khu vực tư nhân và công cộng đã công bố đã phối hợp xóa bỏ X.CPE. Đây là một mạng bot toàn cầu ẩn náu trong hơn 1,3 triệu thiết bị đầu cuối được phân phối tại hơn 200 quốc gia. Phần mềm độc hại này đã được cài đặt sẵn trước khi thiết bị được bán ra, lợi dụng thiết bị và kết nối internet gia đình của người dùng đăng ký để chạy mà không có sự biết đến hoặc đồng ý của người dùng. Chiến dịch xóa bỏ này do Google, Plume, TrendAI™, Lumen, HUMAN Security và Synthient dẫn dắt, với sự tham gia của Cục Cảnh sát Quốc gia Nhật Bản.
Charley Snyder, trưởng nhóm hành động chống lại các nhóm tình báo đe dọa của Google, cho biết: “Những hành động như vậy làm tăng chi phí cho các tội phạm và cho thấy cơ sở hạ tầng mà họ phụ thuộc vào không phải là không thể tiếp cận. Việc loại bỏ X.CPE đòi hỏi sự hợp tác của các đối tác trong ngành. Điều này chứng minh rằng hợp tác là một trong những công cụ mạnh mẽ nhất của chúng ta để đối phó với các mối đe dọa xuyên biên giới và xuyên ngành.”
Một thiết bị quen thuộc, ẩn chứa mối đe dọa lạ lùng
X.CPE được nhúng vào firmware, tức là phần mềm điều khiển hoạt động cơ bản của thiết bị, và đã được cài đặt trước khi thiết bị đầu cuối đến tay người đăng ký. X.CPE được thiết kế để tránh các kiểm tra bảo mật trước khi ra mắt; sau sự việc này, Google đã cập nhật quy trình kiểm duyệt và cấm các nhà sản xuất thiết bị gốc (OEM) liên quan cùng bất kỳ công ty con hoặc công ty liên kết nào trong tương lai của họ sản xuất thiết bị có sẵn ứng dụng của Google. Khác với các mối đe dọa phụ thuộc vào việc người dùng mở tệp đính kèm đáng ngờ hoặc cài đặt ứng dụng, mối đe dọa này xuất hiện như một phần của chính thiết bị. Người đăng ký không nhận được yêu cầu đồng ý, thông báo hoặc tùy chọn từ chối.
Google, Plume, TrendAI™, Lumen, HUMAN Security và Synthient đã phối hợp với Cục Cảnh sát Quốc gia Nhật Bản tiến hành chiến dịch trấn áp đồng bộ nhắm vào X.CPE. Các tổ chức đã tận dụng chuyên môn riêng biệt trong lĩnh vực bảo mật thiết bị kết nối mạng, phân tích phần mềm độc hại, khả năng quan sát mạng và gian lận kỹ thuật số để phân tích và vô hiệu hóa hoạt động của mạng bot này.
Các tổ chức này đã cùng nhau loại bỏ một mối đe dọa ẩn sau các hoạt động của thiết bị dường như bình thường: phần mềm được nhúng trong đầu thu truyền hình cung cấp quyền truy cập từ xa cho những kẻ kiểm soát mạng botnet, cho phép chúng tận dụng kết nối băng thông rộng tại gia mà không có sự đồng ý của người dùng đăng ký. Chiến dịch xóa bỏ này cũng làm gián đoạn các tên miền điều khiển và quản lý (C2) của các module phần mềm độc hại liên quan đến tội phạm. Vì các bên liên quan này còn phân phối các module của mình qua các kênh ngoài X.CPE, Google cho rằng việc tắt các tên miền này sẽ cắt đứt quyền truy cập của ít nhất 10 triệu thiết bị bị nhiễm thêm.
Hành động này cho thấy việc kết nối thông tin tình báo giữa các tổ chức là vô cùng quan trọng để ứng phó với các mối đe dọa vượt qua ranh giới công nghệ và mạng lưới. Các đối tác đã tổng hợp các góc nhìn khác nhau về thiết bị bị nhiễm, phần mềm độc hại và lưu lượng internet, hỗ trợ chiến dịch xóa bỏ phối hợp này nhằm phá vỡ việc truy cập trái phép và chuyển đổi lợi nhuận, đồng thời đối phó với các rủi ro đối với quyền riêng tư của người dùng đăng ký, tài nguyên băng thông rộng và niềm tin vào các thiết bị được kết nối.
Chuyển đổi đường truyền宽带 gia đình thành một công việc kinh doanh mà không có sự cho phép
Mạng bot này kiếm lợi nhuận từ các thiết bị bị nhiễm qua nhiều cách, bao gồm bán lại băng thông, truyền tải nội dung video, gian lận quảng cáo, tải thêm backdoor, và cài đặt ứng dụng trả phí trong các phiên bản đầu tiên.
Đối với các nhà cung cấp dịch vụ, những phát hiện này làm nổi bật rủi ro chuỗi cung ứng, vốn có thể không thể hiện qua hiệu suất hàng ngày của thiết bị. Một hộp phát trực tuyến hoạt động bình thường vẫn có thể tạo ra lưu lượng không thể giải thích được và làm suy yếu niềm tin vào dịch vụ băng thông rộng.
Các năng lực chuyên môn bổ sung cho nhau, hành động phối hợp thống nhất
Đối tác đã hỗ trợ chiến dịch xóa bỏ X.CPE do Google dẫn đầu:
- TrendAI™: Robert McArdle, Giám đốc Nghiên cứu Tội phạm Mạng của TrendAI™, cho biết: “Chúng tôi đánh giá cao hành động quyết liệt của Google trong việc xóa bỏ mối đe dọa này. Nghiên cứu của chúng tôi đã xác định hơn 1,3 triệu thiết bị bị ảnh hưởng bởi chiến dịch này. Điều này có nghĩa là hàng triệu gia đình và doanh nghiệp hoàn toàn không biết rằng thiết bị của họ đang bị sử dụng như công cụ phụ trợ cho các hoạt động phạm tội — dù là lừa đảo nhà quảng cáo hay mượn kết nối qua proxy tại gia để thực hiện các cuộc tấn công khác — thường đi kèm với việc giả danh người dân trong khu vực để thực hiện trộm cắp danh tính. Hành động của Google và các đối tác nghiên cứu đã làm chậm đáng kể những kẻ tấn công này, và nếu chúng cố gắng tái thiết, nghiên cứu TrendAI™ của chúng tôi sẽ tiếp tục theo dõi sát sao.”
- HUMAN: Gavin Reid, Giám đốc An ninh Thông tin của HUMAN, cho biết: “Mạng lưới thiết bị bị nhiễm mã độc có thể duy trì hoạt động nhờ lợi nhuận: những kẻ vận hành kiểm soát các thiết bị và kết nối gia đình mà không có sự đồng ý, sau đó chuyển đổi quyền truy cập này thành lợi nhuận thông qua các dịch vụ proxy và nhiều hoạt động gian lận khác. Như chiến dịch lần này cho thấy, sự hợp tác cộng đồng sẽ cắt đứt cơ sở hạ tầng cần thiết để tạo lợi nhuận, làm tăng chi phí vận hành các mạng này và suy yếu động lực hỗ trợ chúng.”
- Synthient: Giám đốc điều hành Synthient, Benjamin Brundage, cho biết: “Mạng trả tiền theo cài đặt bất hợp pháp là nền tảng quan trọng của hệ sinh thái gian lận lớn hơn, thúc đẩy nhiều hoạt động từ gian lận quảng cáo trực tiếp đến các mạng đại lý không được giám sát, và những mạng này lại thúc đẩy các cuộc tấn công điền thông tin đăng nhập và mạng bot DDoS. Việc loại bỏ X.CPE giúp bảo vệ tổng thể lĩnh vực này, đồng thời bảo vệ những người tiêu dùng vô tình trở thành nạn nhân của chương trình này.”
Nghiên cứu và tài nguyên:
- Google: https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet
- Plume: http://www.plume.com/xcpe-botnet-whitepaper-pdf
- TrendAI™: https://www.trendaisecurity.com/en-us/resources-insights/trendai-security-blog/trendaitm-research-helps-disrupt-android-tv-botnet-of-more-than-13-million-pre-infected-devices
Về Plume
Về TrendAI™
TrendAI™ là đơn vị dẫn đầu toàn cầu về an ninh AI thuộc Trend Micro, giúp các tổ chức đạt được khả năng hiển thị, quản trị và tích hợp an ninh toàn diện cho AI, từ đó tăng cường sự tự tin, thúc đẩy đổi mới và loại bỏ rủi ro. TrendAI™ được hơn 185 quốc gia các doanh nghiệp lớn và cơ quan chính phủ tin tưởng bảo vệ toàn bộ tổ chức, từ danh tính đến hạ tầng và dữ liệu. Các công ty trong danh sách Fortune 500 toàn cầu dựa vào TrendAI™ để ngăn chặn mối đe dọa sớm nhất tới 115 ngày nhờ vào thông tin mối đe dọa và tấn công hàng đầu thế giới. Để biết thêm thông tin, truy cập trendaisecurity.com.
Về Lumen
Lumen Technologies kết nối con người với dữ liệu và ứng dụng thông qua mạng và dịch vụ công nghệ của mình. Đội ngũ nghiên cứu và vận hành mối đe dọa Black Lotus Labs của họ sử dụng khả năng quan sát mạng toàn cầu để phát hiện hoạt động độc hại, tạo ra thông tin mối đe dọa và hỗ trợ bảo vệ doanh nghiệp và internet. Để biết thêm thông tin, truy cập Lumen Technologies.
Về HUMAN Security
HUMAN Security giúp các tổ chức bảo vệ trải nghiệm kỹ thuật số bằng cách phát hiện và ngăn chặn các mối đe dọa tự động, gian lận và lạm dụng. Công nghệ và thông tin mối đe dọa của nó giúp các doanh nghiệp và nền tảng xác minh các tương tác kỹ thuật số và xây dựng niềm tin trong hành trình của khách hàng. Tìm hiểu thêm tại humansecurity.com.
Về Synthient
Synthient cung cấp thông tin tình báo để nhận diện proxy gia đình, VPN và hạ tầng botnet, giúp các tổ chức đánh giá rủi ro lưu lượng và điều tra hành vi lạm dụng. Các nhà nghiên cứu của họ phân tích mạng proxy, botnet và hạ tầng đối thủ để tiết lộ các mối đe dọa mới nổi. Tìm hiểu thêm tại Synthient.