ماذا كشفت جوجل عن أجهزة التلفزيون المصابة؟
أعلنت جوجل اتخاذ إجراءات ضد شركة Videostrong Technology، وهي شركة تصنع أجهزة تعمل بنظام أندرويد لعلامات تجارية مختلفة، بعدما توصل فريق استخباراتها الأمنية إلى أن الشركة طورت بابًا خلفيًا برمجيًا يُعرف باسم XCPE واستخدمته على نطاق واسع لتحقيق أرباح. ووفق التقرير الأصلي لفريق Google Threat Intelligence المنشور في 2 نوفمبر 2026، انضم أكثر من 1.3 مليون جهاز استقبال وبث تلفزيوني إلى شبكة أجهزة مخترقة تُدار عن بُعد. وهذا يفسر صعوبة مواجهة برمجيات خبيثة تتخفى داخل النظام. ولم تكن القضية مجرد تطبيق ضار نزله مالك الجهاز؛ بل برمجيات خبيثة ارتبطت بالبرنامج الثابت الذي يصل مع الجهاز نفسه.
الإجابة السريعة: تقول جوجل إنها فككت شبكة XCPE بالتعاون مع شركاء أمنيين، وقطعت علاقتها بشركة Videostrong، ومنعتها هي والشركات التابعة أو المرتبطة بها مستقبلًا من تصنيع أجهزة أندرويد معتمدة أو توريد برمجيات لمصنّعين معتمدين. واستهدفت الإجراءات شبكة تضم أكثر من 1.3 مليون جهاز، مع تعطيل بنية تحكم مرتبطة بحملات أخرى قد يؤثر في عشرة ملايين جهاز إضافي على الأقل. لكن تفكيك خوادم التشغيل لا يعني تنظيف جميع الأجهزة التي تحمل برمجيات خبيثة في نظامها.
لماذا اتهمت جوجل الشركة المصنعة نفسها؟
يرتبط الجانب الاستثنائي في هذه الواقعة بهوية الجهة التي يُشتبه في مسؤوليتها. فبدل الحديث عن مهاجم خارجي استغل ثغرة في جهاز تلفزيون، تقول جوجل إنها تتمتع بدرجة ثقة مرتفعة في أن Videostrong طورت الباب الخلفي وشغلته عمدًا، ثم باعت إمكانية الوصول إلى الأجهزة لأطراف أخرى. وأوضحت أن المكونات الضارة ظهرت عبر طرازات وعلامات متعددة على مدى سنوات، وأن البنية التحتية والتحديثات المصممة لتجنب الكشف لا تتفق، في تقديرها، مع خطأ عارض أو تصرف موظف منفرد.
هذا التقييم منسوب إلى جوجل، ولا ينبغي تحويله إلى حكم قضائي نهائي لمجرد صدوره في تقرير تقني. لكن القرار الذي اتخذته الشركة واضح: وقف العلاقة التجارية ومنع الجهة المعنية من تصنيع أجهزة معتمدة تحمل تطبيقات جوجل مسبقًا. ويزيد الحديث عن برمجيات خبيثة مثبتة من المصنع مستوى القلق. وتعد الواقعة أكثر حساسية لأن بعض الأجهزة اجتازت في الأصل برنامج الاعتماد، ما يوضح أن ظهور شعار الاعتماد وحده لم يكن كافيًا لاكتشاف برمجيات خبيثة صُممت لتنشط بعد تشغيل الجهاز لأول مرة.
كيف عمل الباب الخلفي XCPE؟
كانت برمجيات خبيثة كهذه تعمل بصلاحيات حساسة. بحسب التحليل التقني، كان مكوّن صغير يُسمى x.cpe، ويظهر في بعض الإصدارات باسم com.oemservice، مثبتًا بامتيازات مرتفعة داخل البرنامج الثابت. وبعد إقلاع الجهاز يتواصل مع خوادم تحكم لاستقبال إعدادات وأوامر، ثم يساعد على تحميل وحدات إضافية تؤدي النشاط الذي يريده المشغلون. وتشرح جوجل أن التصميم تغيّر بمرور الوقت إلى بنية متعددة المراحل تفصل الاتصال بالخوادم عن تشغيل الوحدات الضارة؛ وهو أسلوب يجعل اكتشاف النشاط أثناء الاختبارات التقليدية أصعب.
والأهم أن بعض إصدارات الباب الخلفي تستعيد نفسها من قسم مخصص في الجهاز عند محاولة حذفها ثم إعادة التشغيل. ولهذا فإن إزالة تطبيق ظاهر أو إجراء فحص تقليدي لا يضمن القضاء على برمجيات خبيثة مزروعة ضمن صورة النظام الأصلية. ويختلف هذا السيناريو عن إصابة هاتف بتطبيق خارجي يمكن أحيانًا إزالته ببساطة، لأن المهاجم قد يمتلك صلاحيات نظامية أعلى من صلاحيات المستخدم العادي.
كيف استُخدمت الأجهزة بعد إصابتها؟
لم يكن الهدف المعلن من الشبكة إيقاف أجهزة التلفزيون أو مطالبة أصحابها بفدية. وبحسب جوجل، كان نموذج الربح يقوم على تأجير أو بيع الوصول إلى الأجهزة لجهات إجرامية تضيف وحدات تشغيل خاصة بها. بعض هذه الوحدات شارك في الاحتيال الإعلاني عبر تشغيل مشاهدات أو نقرات غير حقيقية، وبعضها حول اتصالات المنازل إلى نقاط عبور لشبكات الوكلاء السكنية، بحيث تمر حركة بيانات تابعة لآخرين من خلال عنوان الإنترنت الخاص بالضحية دون علمه.
وسجل المحققون كذلك إمكان تنفيذ أوامر عن بُعد وجمع معلومات عن الأجهزة والتطبيقات، والتقاط صور للشاشة وإرسال مدخلات إلى النظام في بعض الحالات. هذه القدرات توضح لماذا يصعب اعتبار برمجيات خبيثة موجودة في جهاز بث تلفزيوني مشكلة محدودة بالتلفزيون نفسه؛ إذ يمكن أن تؤثر في خصوصية الاستخدام وموارد الاتصال، وقد تجعل الجهاز نقطة انطلاق لفحص أجهزة أخرى تشترك في الشبكة المنزلية.
ما الفرق بين 1.3 مليون و10 ملايين جهاز؟
أوردت جوجل رقمين مختلفين، ومن الضروري عدم جمعهما أو التعامل معهما كعدد أجهزة تلفزيون مصابة بالنوع نفسه من الهجوم. الرقم الأول يزيد على 1.3 مليون جهاز ضمته شبكة XCPE التي ركز عليها التحقيق. أما الرقم الثاني فيشير إلى تقدير بأن تعطيل خوادم تحكم تخص وحدات ضارة مرتبطة بجهات أخرى سيقطع الوصول إلى عشرة ملايين جهاز إضافي على الأقل. تلك الوحدات تمتلك قنوات انتشار مختلفة، وليست الأجهزة العشرة ملايين بالضرورة كلها مصنعة من Videostrong أو حاملة للباب الخلفي نفسه.
| الرقم | ماذا يقيس؟ | ما الذي لا يعنيه؟ |
|---|---|---|
| أكثر من 1.3 مليون | أجهزة ضمن شبكة XCPE وفق جوجل | ليس عدد كل أجهزة Android TV في الأسواق |
| 10 ملايين على الأقل | أجهزة أخرى يُتوقع انقطاع وصول الوحدات المرتبطة إليها بعد تعطيل خوادمها | ليست بالضرورة أجهزة Videostrong أو مصابة بـXCPE |
كما تكشف القضية ارتباط برمجيات خبيثة متعددة بخوادم متداخلة. ويساعد فهم هذا الفارق على تجنب عناوين تضخم الأثر أو تخلط بين برمجيات خبيثة مختلفة. كما أن عبارة قطع الوصول تعبر عن تعطيل قناة تشغيل لدى المهاجمين، ولا تثبت تلقائيًا أن الملفات الضارة قد اختفت من كل جهاز متأثر.
هل كانت الأجهزة معتمدة من جوجل؟
نعم، وهذه إحدى أبرز النقاط في الحادث. تقول جوجل إن الشركة المصنعة استغلت ثغرة في تسلسل الفحوص: أخفت الشيفرة الضارة أو جعلتها تُحمّل مكونات ضارة بعد التشغيل الأول، بما سمح لبعض الأجهزة باجتياز اختبارات الاعتماد دون اكتشاف المشكلة مبكرًا. وقد أعلنت جوجل تغيير إجراءات مراجعة الشركات وتحسين آليات التحقق من سلامة البرنامج الثابت لأجهزة Android TV المعتمدة، بدل الاكتفاء بملاحقة البنية الخبيثة الموجودة بالفعل.
وتوضح الصفحة الرسمية لاعتماد أجهزة أندرويد أن العلامة تعني اجتياز مجموعة واسعة من اختبارات التوافق والأمان، وأن الأجهزة المعتمدة يفترض أن تُطرح دون برمجيات خبيثة مثبتة مسبقًا، مع توفير Google Play Protect. لكن هذه الحادثة تذكير مهم بأن الاختبار الأمني يقلل المخاطر ولا يمنح ضمانًا مطلقًا ضد التلاعب المتعمد في سلسلة التصنيع أو التحديثات اللاحقة.
هل تشمل الإصابة جميع أجهزة Android TV؟
لا. تقرير جوجل لا يقول إن كل جهاز Android TV أو Google TV يحمل هذا الباب الخلفي، ولا يصح اتهام أي جهاز لمجرد اعتماده على نظام أندرويد. يشير التحقيق إلى طرازات وعلامات متعددة ارتبطت بمكونات Videostrong، وكانت الغالبية من صناديق البث التلفزيوني، مع رصد أجهزة أخرى تستخدم أندرويد في مجالات مثل اللافتات الرقمية والكاريوكي وبعض الخدمات الصحية عن بُعد. ولا يكفي تشابه الشكل الخارجي للصناديق أو سعرها المنخفض للحكم على إصابة طراز بعينه.
والتمييز مهم كذلك بين الأجهزة الأصلية المعتمدة وتلك التي تستخدم نسخة مفتوحة المصدر من أندرويد دون خدمات جوجل؛ فهذه فئات مختلفة من حيث الاختبارات والبرامج المثبتة. وتجدر الإشارة إلى أن ظهور اسم علامة تجارية في دراسة لعينة محددة لا يعني تلقائيًا أن جميع منتجات تلك العلامة مصابة. أفضل قرار عند الاشتباه هو مراجعة رقم الطراز وإصدار البرنامج الثابت وبيانات الشركة، ثم طلب تأكيد محدد بشأن برمجيات خبيثة من البائع أو جهة دعم موثوقة.
ماذا تفعل إذا كنت تملك جهاز بث تلفزيوني مشكوكًا فيه؟
قد تحمل أجهزة البث برمجيات خبيثة دون أعراض ظاهرة. إذا كان جهاز البث من طراز ظهر اسمه في تحقيق موثوق، أو تأكدت من إصابته، فإن الخطوة الاحترازية الأقوى هي فصله عن الإنترنت وعن الشبكة المنزلية إلى أن تحصل على حل رسمي. لا تفترض أن إعادة ضبط المصنع تعالج أصل المشكلة؛ فالباب الخلفي الذي وصفته جوجل قد يكون جزءًا من البرنامج الثابت نفسه ويعود بعد إعادة التشغيل. ولا تنصح قواعد السلامة بتنزيل ملفات نظام عشوائية من مواقع أو مجموعات غير موثوقة، لأن تثبيت صورة خاطئة قد يعطل الجهاز أو يضيف خطرًا آخر.
- دوّن اسم الشركة والطراز ورقم إصدار البرنامج الثابت، وقارنه بمعلومات التحقيق والتحديثات الرسمية.
- افصل الجهاز المتأكد من إصابته عن الشبكة حتى يتضح وجود برنامج ثابت نظيف أو بديل آمن.
- تواصل مع البائع أو الشركة المصنعة للسؤال عن تحديث موثق يعالج المكون المزروع، أو عن الاستبدال.
- إذا استخدمت حسابات حساسة على الجهاز المشكوك فيه، غيّر كلمات مرورها من جهاز موثوق وراجع جلسات الدخول.
- تجنب الاعتماد على إزالة تطبيق واحد أو إعادة ضبط المصنع بوصفهما دليلًا كافيًا على زوال الخطر.
ولا يجب تجاهل احتمال وجود برمجيات خبيثة في عتاد آخر غير معروف المصدر. من المفيد أيضًا مراقبة الأجهزة الأخرى على الشبكة، لكن لا يوجد في البيان ما يثبت أن كل جهاز تلفزيون مصاب نقل العدوى إلى الهواتف والحواسيب المنزلية. الهدف من هذه الاحتياطات هو الحد من تعرض الحسابات والاتصال لأي برمجيات خبيثة متبقية، دون إثارة ذعر أو اللجوء إلى إجراءات قد تسبب فقدان البيانات دون فائدة.
كيف تتحقق من الاعتماد وPlay Protect؟
في الأجهزة التي توفر متجر Google Play، يمكن فتح إعدادات المتجر والوصول إلى معلومات الاعتماد، مع الانتباه إلى اختلاف مسار القوائم حسب الواجهة والطراز. وتشرح وثائق Android Developers الرسمية موضع حالة اعتماد Play Protect عبر صفحة About في إعدادات المتجر على الأجهزة المدعومة. كما يساعد اختيار أجهزة تحمل اعتمادًا أصليًا وتحديثات واضحة وسياسة دعم معلنة على تقليل مخاطر شراء صناديق لا تتلقى صيانة أمنية.
لكن التحقق من الاعتماد ليس فحصًا مستقلًا يثبت خلو جهاز بعينه من XCPE؛ فقد كشفت الواقعة أن بعض الأجهزة المصابة كانت معتمدة أساسًا. ويمكن قراءة تقرير سوالف عن ميزات أمان أندرويد الجديدة لفهم كيف تعمل طبقات الحماية أثناء تثبيت التطبيقات. ولا تحل أي طبقة بمفردها مشكلة برمجيات خبيثة زرعها مصنّع يمتلك صلاحيات النظام.
ماذا أنجزت جوجل وما الذي لا يزال قائمًا؟
قالت جوجل إنها تحركت قانونيًا لتعطيل النطاقات والخوادم التي استخدمها المشغلون لإدارة شبكة XCPE وتحميل وحداتها، واتخذت إجراءات موازية ضد خوادم تحكم ترتبط بأكثر من عشر عائلات من الملفات الضارة. وشارك في التحقيق أو التعطيل شركاء من بينهم وكالة الشرطة الوطنية اليابانية وشركات أمنية متخصصة. ومن شأن هذه الإجراءات خفض قدرة الشبكة على تلقي أوامر جديدة وتحقيق دخل من الأجهزة المصابة، لكنها ليست شهادة تنظيف فردية صادرة لكل مستخدم.
تضع القضية سلسلة توريد البرمجيات في صدارة النقاش الأمني: فالمخاطر لا تبدأ دائمًا من رابط تصيد يفتحه المستخدم، وقد تنشأ قبل شراء الجهاز عندما يُستغل موقع الثقة الذي تتمتع به الشركة المصنعة. لذلك سيبقى السؤال الأهم بعد تعطيل XCPE هو كيف ستتعامل الشركات والمتاجر مع الأجهزة المباعة، وما إذا كانت ستوفر ملفات نظام نظيفة أو عمليات استبدال موثقة. وحتى ذلك الحين، ينبغي التعامل بحذر مع الأجهزة التي ثبت وجود برمجيات خبيثة داخل برنامجها الثابت، بدل افتراض أن إغلاق الخوادم أعادها تلقائيًا إلى وضع آمن.
لا يسمح بنقل هذا المحتوى من سوالف دون الاشارة برابط مباشر
