Máte doma tento TV box? Okamžitě jej odpojte, jsou infikované Číňany, varuje Google

Skrytá hrozba v obývacím pokoji

Představte si, že váš televizní box sleduje každý váš krok. Pořizuje snímky obrazovky, sbírá přihlašovací údaje a bez vašeho vědomí instaluje cizí software. Přesně to se dělo více než 1,3 milionu majitelů Android TV zařízení ve dvou stech zemích světa. A nejhorší? Nebyla to chyba systému ani náhodná bezpečnostní trhlina.

Čínská firma Videostrong Technology záměrně zabudovala do svých produktů zadní dvířka, která proměnila běžná domácí zařízení v součást globálního botnetu XCPE. Škodlivý kód se skrýval přímo v systémovém oddílu firmwaru – tam, kam běžný uživatel nemá přístup a kam by se běžný malware nikdy nedostal.

Jak výrobce obešel bezpečnostní kontroly

Videostrong zvolil rafinovanou strategii. Při certifikačních testech kompatibility a bezpečnosti předložil čistou verzi systému. Škodlivý zavaděč s označením x.cpe se do zařízení nahrál až po prvním spuštění uživatelem, když už bylo pozdě na jakoukoliv kontrolu.

Po dokončení úvodní konfigurace navázal backdoor trvalé spojení přes protokol MQTT a začal přijímat příkazy od operátorů. Díky systémovým oprávněním získali útočníci prakticky neomezenou kontrolu nad každým napadeným přístrojem.

Bezpečnostní analytici ze společnosti Synthient objevili tyto zadní vrátka při testování modelu MECOOL KM9PRO Max – přitom MECOOL je nejznámější spotřebitelskou značkou přímo od Videostrong Technology. Škodlivý kód se ale nenašel jen v televizních boxech. Narazili na něj také v karaoke stanicích, zdravotnických přístrojích nebo digitálních informačních panelech.

Byznys model postavený na zločinu

Videostrong nevytvořil botnet pro vlastní potřebu. Firma na infikovaných zařízeních systematicky vydělávala prodejem přístupu dalším zločineckým skupinám. Zároveň do boxů nahrávala vlastní škodlivé moduly zaměřené na reklamní podvody a instalaci dalšího malwaru.

Napadená zařízení byla také zapojena do rezidenčních proxy sítí. Přes internetové připojení nic netušících majitelů se přesměrovával cizí provoz, takže navenek vypadal, jako by pocházel z legitimní adresy běžného uživatele. Vaše domácí připojení mohlo sloužit k zakrývání stop kyberzločinců po celém světě.

Schopnosti malwaru byly děsivé. Dokázal vypnout ochranu Google Play Protect, na dálku simulovat stisky kláves, spouštět systémové příkazy a sbírat parametry zařízení, seznamy aplikací i systémové protokoly. Všechno v tichosti, bez jediného varování.

Google zasáhl, ale problém zůstává

Bezpečnostní tým Googlu společně s firmami HUMAN Security, Lumen, Plume, TrendAI a japonskou policií 2. listopadu 2026 narušil řídicí infrastrukturu botnetu. Americká společnost ukončila spolupráci s Videostrong a zakázala této firmě i jejím budoucím dceřiným a přidruženým společnostem vyrábět a prodávat certifikovaná zařízení s Androidem nebo dodávat software dalším výrobcům.

Google také změnil bezpečnostní kontroly a posílil ověřování integrity firmwaru zařízení s Android TV. Vyřazením řídicích domén odřízl provozovatele partnerských modulů od nejméně deseti milionů dalších infikovaných zařízení.

Problém je ale hlubší. Škodlivý kód XCPE byl do firmwaru různých modelů zařazován po dobu několika let, nejméně od roku 2024. A co je nejhorší – samotné vyřazení infrastruktury infekci ze zařízení neodstraní.

Proč nestačí reset ani aktualizace

I po ručním vymazání se backdoor při každém restartu opět sám nainstaluje ze systémové složky /oem/. K nápravě by byl zapotřebí zásah výrobce, ověřený čistý firmware nebo výměna zařízení.

Protože společnost Videostrong pravděpodobně nikdy nevydá čistou verzi firmwaru pro tyto TV boxy a běžný uživatel nemá možnost vymazat kód ze systémového oddílu, jediným bezpečným řešením je odpojit podezřelý přístroj od sítě a vyhodit jej.

Případ odhaluje temnou stránku globálního trhu s elektronikou. Zařízení, která denně používáme ve svých domovech, mohou skrývat hrozby, o nichž nemáme ani tušení. A někdy je vytváří přímo ti, kteří by měli garantovat jejich bezpečnost.