קופסה קטנה שמתחברת לטלוויזיה בכבל HDMI, עולה כמה עשרות דולרים באתרי הקנייה מהמזרח ומריצה אנדרואיד. היא עובדת בדיוק כמו שהובטח. מה שהיא עשתה בהפעלה הראשונה, לפני שמישהו בבית הספיק לבחור שפה, היה לכבות את בדיקת האפליקציות של גוגל ולפתוח קשר לשרת חיצוני. גוגל פירקה בסוף אוקטובר רשת של יותר מ-1.3 מיליון מכשירים כאלה, והנוזקה, לפי גוגל, לא הגיעה לשם בפריצה. היצרן שתל אותה בעצמו.

מה קרה

ברשת שגוגל מכנה XCPE נמצאו בעיקר ממירי סטרימינג זולים. שני רכיבי הדלת האחורית, x.cpe ו-com.oemservice, נכנסו לקושחה של המכשיר עוד בפס הייצור ורצו בהרשאות מערכת, כלומר ברמה שממנה אפשר להתקין אפליקציות בשקט, להריץ פקודות ולצלם את המסך. בהפעלה הראשונה המכשיר פנה לשרת שליטה ובקרה (C2, השרת שממנו התוקף שולח פקודות) וקיבל ממנו פרטי אימות לתיבת ההודעות שדרכה הגיעו הפקודות.

גוגל אומרת שהיא משוכנעת ברמת ביטחון גבוהה שהיצרן, חברת Videostrong משנזן שבסין, שתל את הדלת האחורית במתכוון ומכר גישה אליה לעבריינים, ושלא מדובר בעובד סורר או בתקלה. בעקבות זאת היא שללה מהחברה את הרישיון לייצר מכשירי אנדרואיד עם שירותי גוגל, ואסרה עליה ועל חברות קשורות עתידיות לספק תוכנה ליצרנים מאושרים. גוגל גם שינתה את תהליך הבדיקה שלה, אחרי שמצאה שהקוד הזדוני הוסתר כדי לעבור את מבחני האבטחה ועלה רק אחרי ההפעלה הראשונה.

המספרים עצמם לא סגורים. חברת TrendAI ספרה 1,472,554 מכשירים נגועים ב-206 דגמים בין יוני לאוקטובר, ובן ברונדייג' מחברת Synthient אמר שההערכה של 1.3 מיליון "שמרנית מאוד". ברונדייג' גם קנה ממיר MECOOL KM9PRO Max בסוף 2025 ומצא את הנוזקה מותקנת בו מראש. רוב התוספים שהורדו למכשירים הפכו אותם לנקודת יציאה לאינטרנט בשביל זרים או מכרו את רוחב הפס הפנוי, ואחרים הציגו פרסומות שאף אדם לא ראה.

למה זה חשוב לכם

בפירוט שפורסם ישראל לא מופיעה, ורוב ההדבקות נמצאו במלזיה, ברזיל, עיראק, מקסיקו וטייוואן. אבל הקופסאות נמכרות באותם אתרים שמשלחים לכאן, ולפי Krebs on Security המותגים האלה גדלו דרך משפיענים שהבטיחו מאות ערוצי שידור פיראטיים בתשלום חד-פעמי. זה בדיוק קהל הקונים שלא יבדוק שם דגם מול רשימה.

מה שקורה למי שהקופסה שלו נגועה כבר הסברנו כאן בעבר: הגלישה של זרים יוצאת מחיבור האינטרנט שלכם, עם כתובת ה-IP הביתית שלכם. אם מישהו משתמש בה לתקיפה, הכתובת שנרשמת בצד השני היא שלכם. ומכשיר שרץ בהרשאות מערכת ויושב על הרשת הביתית יכול גם למפות אותה ולהגיע למה שעוד מחובר שם.

מה עושים?

יש לכם ממיר אנדרואיד זול או "סטרימר" בלי מותג מוכר? חברת Synthient פרסמה ב-GitHub רשימה של 182 שמות דגמים שנמצאו בקמפיין. זו נקודת פתיחה ולא הוכחה, כי שם דגם לבדו לא אומר שהמכשיר נגוע.

הסרת האפליקציה לא פותרת כלום, כי XCPE מתקין את עצמו מחדש מחלק בזיכרון שאיפוס לא מוחק. אפשר להחליף את הקושחה כולה בגרסה נקייה, ואפשר פשוט לנתק את הקופסה מהאינטרנט. למי שלא מתכוון להתעסק עם קושחה, ניתוק הוא הפתרון המעשי.

קונים מכשיר חדש? חפשו את אישור Play Protect בהגדרות, תחת פרטים על המכשיר. מכשיר שאינו מאושר לא עבר את בדיקות האבטחה של גוגל.

ואם בדיקת האפליקציות של Google Play Protect מכבה את עצמה שוב ושוב במכשיר בבית, זה סימן שמשהו עליו מבקש שלא יבדקו אותו.

גוגל יכולה לשלול רישיון מיצרן אחד. את הקופסה שכבר מחוברת לטלוויזיה בסלון אף אחד לא ינתק במקומכם.