מיליון וחצי מכשירי טלוויזיה הפכו לבוטנט: כך תגנו על הרשת הביתית שלכם

גוגל הודיעה היום כי פעלה יחד עם שותפים בתעשייה כדי לפרק רשת בוטנט המורכבת מיותר מ-1.3 מיליון ממירים מסוג Android TV, המגיעים עם תוכנה זדונית המשתמשת בחשאי בחיבור האינטרנט של המשתמש כדי להשכיר אותו לזרים ולבצע הונאות פרסום. מומחים שהיו מעורבים בנטרול הרשת מציינים כי הפעולה צפויה לנתק את הגישה של הבוטנט ליותר מ-10 מיליון מערכות נוספות שנפרצו, כולל מוצרי Internet of Things (IoT) אחרים כגון מכשירי בריאות מבוססי Android ומכונות קריוקי.

דו"ח של Google Threat Intelligence Group (GTIG) מסר כי גוגל ניתקה את הקשר עם Videostrong Technology Co. , יצרנית ממירים בסין, אשר GTIG ומומחים אחרים בתעשייה קבעו כי היא האחראית להטמעת תוכנות זדוניות שרשמו יותר מ-1.3 מיליון ממירים לרשת בוטנט המכונה "XCPE" (על שם אחד מרכיבי הליבה של התוכנה הזדונית).

התפוצה הגלובלית של זיהומי בוטנט ה-XCPE. תמונה: Google Threat Intelligence Group.

הדו"ח מציין כי בוטנט ה-XCPE הטעין על מכשירי המשתמשים תוכנה ההופכת את כתובת האינטרנט שלהם לזמינה למכירה חוזרת על ידי מספר שירותי "פרוקסי למגורים" (residential proxy). שירותים אלו מאפשרים ללקוחות לשכור כתובות אינטרנט כדי להסתיר את זהות תעבורת הרשת שלהם או לזייף את מיקומם האמיתי. כפי שפורט במספר כתבות כאן במהלך השנה האחרונה, שירותי פרוקסי למגורים הם מקור עיקרי לתעבורה לא רצויה ולעיתים קרובות זדונית, הכוללת השתלטות על חשבונות, הונאות פרסום וגרידת תוכן (scraping) המונית עבור פרויקטים של AI.

"Videostrong הפיקה רווחים מהדלת האחורית על ידי מכירת גישה לשותפים פליליים וטעינת מודולים זדוניים של אותם שותפים על מכשירים נגועים", נכתב בפוסט של GTIG, שציין כי גוגל נקטה בצעדים משפטיים כדי להסיר את הדומיינים והשרתים ששימשו את Videostrong לשליטה בבוטנט ולהתקנת תוכנות זדוניות נוספות. "יצרן מכשירים שמדביק בכוונה את המשתמשים שלו בתוכנה זדונית הוא הפרת אמון בלתי מתקבלת על הדעת, ומהווה סיכון רציני לאותם משתמשים. ללא ידיעת המשתמשים או הסכמתם, המכשירים הנגועים הוצעו כמנגנון הפצה עבור מגוון רחב של גורמים פליליים".

הדו"ח מציין כי בעוד שממירים היוו את רוב הבוטנט, אותה תוכנה זדונית XCPE נמצאה גם במוצרי IoT אחרים מבוססי Android, כולל מכשירי רפואה מרחוק, מכונות קריוקי ואפילו מערכות שילוט דיגיטלי.

גוגל מסרה כי היא דורשת מכל יצרניות מכשירי ה-Android לעבור מבחני תאימות ואבטחה כדי להבטיח שהמוצרים שלהן לא יפגעו במשתמשים, אך Videostrong הצליחה למצוא דרך לטעון את התוכנה הזדונית מיד לאחר שהמשתמש מאתחל את המכשיר בפעם הראשונה (גוגל מציינת כי מאז טיפלה בחולשה זו).

דו"ח GTIG מזהה מספר ספקי פרוקסי למגורים שערכות פיתוח התוכנה (SDK) שלהם הורדו באופן קבוע על ידי מכשירים שנדבקו בבוטנט XCPE. אלה כוללים את AppSalt, הידוע גם בשם Honeygain, שנמצא בבעלות חברת Oxylabs מווילנה, ליטא. באוקטובר 2026, Oxylabs הושקה מחדש תחת מותג חדש בשם Source, לאחר שקיבלה מימון של 130 מיליון דולר מחברת ההשקעות הפרטית Warburg Pincus, שלפי הדיווחים העריכה את העסק ב-3.6 מיליארד דולר. Oxylabs לא הגיבה לבקשת תגובה.

ספק נוסף המקושר לבוטנט הוא NetNut, חברת פרוקסי למגורים שפעלה בעבר תחת חברת Alarum Technologies הישראלית הנסחרת בבורסה. ביולי 2026, ה-FBI פעל יחד עם שותפים בתעשייה כדי להחרים מאות דומיינים הקשורים ל-NetNut, וקבע כי החברה הייתה אחראית להפעלת בוטנט נפרד בשם Popa, ששעבד ממירים בתור פרוקסי למגורים. ספקי פרוקסי נוספים המוזכרים בדו"ח GTIG כוללים את EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb ו-GaGaNode.

ההכרזה של גוגל מציינת מספר שותפים בתעשייה, בהם Synthient, סטארט-אפ העוקב אחר ספקי פרוקסי. בינואר 2026 פרסמה Synthient מחקר על ההתפשטות המהירה של בוטנט ה-Kimwolf, שבאותה עת תקף רשתות ברחבי העולם באמצעות התקפות DDoS חסרות תקדים. Synthient תיעדה כיצד Kimwolf הדביק מיליוני ממירים מבוססי Android כמעט בן לילה, תוך שימוש בפגיעות נרחבת בשירותי פרוקסי למגורים כדי לסכן מכשירים אחרים מבוססי Android בתוך הרשתות המקומיות של משתמשי הממירים התמימים.

המחקר של Synthient גרם לעשרות ספקי פרוקסי למגורים לתקן את הרשתות שלהם, מה שעזר לפצל את בוטנט ה-Kimwolf לחלקים קטנים בהרבה, דבר שהפך את התקפות ה-DDoS הבלתי פוסקות שלו לקלות בהרבה לניהול עבור מפעילי הרשת. הדבר גם משך את תשומת לבה של Motion Picture Association (MPA), איגוד מסחרי המייצג את אולפני הוליווד הגדולים, אשר שיתף פעולה עם Synthient כדי לרכוש ולפרק מספר ממירים פופולריים של Android TV - כולל כמה שהודבקו על ידי Kimwolf ובוטנטים אחרים של IoT.

בדו"ח שפורסם היום, Synthient בחנה ממיר פופולרי שנגוע מראש בתוכנות זדוניות, שנמכר תחת המותג MECOOL על ידי חברה ציבורית בסין בשם Skyworth Technology, והגיעה למסקנה כי MECOOL גם הטמיעה את התוכנה הזדונית של Videostrong Technology Co. והתקינה רכיבי AppSalt/Honeygain ורכיבי פרוקסי אחרים.

חנות השיווק של MECOOL. תמונה: Synthient.com.

מייסד Synthient, בן ברונדג' (Ben Brundage), אמר ל-KrebsOnSecurity שהתוכנה הזדונית של Videostrong הפיצה גם תוכנה עבור שירות הפרוקסי Grass. בכתבה שלנו מנובמבר 2025, "האם ממיר הסטרימינג Android TV שלך חלק מבוטנט?", ציטטנו חוקר מ-Censys שמצא כי מכשיר הסטרימינג הפופולרי Superbox TV כלל את תוכנת הפרוקסי למגורים של Grass. כמו כן, ציטטנו את מייסד Grass, שהכחיש כל קשר ליצרן הממירים.

אותה כתבה מנובמבר 2025 ציינה כי Superbox וממירים דומים של Android TV משיגים לקוחות חדשים בעיקר באמצעות משפיענים ב-TikTok וברשתות חברתיות אחרות, שמשבחים את יכולתו של המוצר להציע מאות שירותי סטרימינג (פיראטיים) בתשלום תמורת תשלום חד-פעמי.

כמו כן, הדו"ח של Synthient מציין שהפופולריות של ממיר ה-MECOOL התפוצצה לאחר שהמוצר זכה להמלצה בשנת 2023 מערוץ היוטיוב Linus Tech Tips, שיש לו קהל של כמעט 17 מיליון מנויים.

ערוץ היוטיוב הפופולרי Linus Tech Tips דן בממירי הסטרימינג של MECOOL.

דו"ח GTIG מעריך כי נטרול בוטנט ה-XCPE צפוי לנתק את הגישה ללפחות 10 מיליון מכשירים נוספים שנפרצו, ומציין כי לשותפי הפרוקסי והונאות הפרסום השונים של Videostrong "יש ערוצי הפצה מגוונים עבור המודולים שלהם מעבר ל-XCPE".

ברונדג' מ-Synthient חיזק מסקנה זו וכינה את המספר של 1.3 מיליון "שמרני ביותר".

"היקף המכשירים המושפעים סביר להניח שגבוה בהרבה", אמר. "זה כנראה המבצע הגדול ביותר נגד ממירים עם דלתות אחוריות שראינו".

לקריאה נוספת: נייר לבן של Plume Security Labs על בוטנט XCPE (PDF); דו"ח של Black Lotus Labs ב-LinkedIn; ניתוח של TrendAI; רשימת המכשירים המושפעים של Synthient, בחלוקה לפי מספר דגם.