في واحدة من أكبر العمليات الأمنية ضد شبكات الأجهزة المخترقة خلال السنوات الأخيرة، أعلنت شركة جوجل نجاحها في تعطيل شبكة روبوتات إلكترونية (Botnet) تضم أكثر من 1.3 مليون جهاز يعمل بنظام أندرويد، معظمها عبارة عن أجهزة استقبال البث التلفزيوني الذكية (Android TV Set-Top Boxes)، مؤكدة امتلاكها أدلة قوية تشير إلى أن الشركة الصينية المصنعة للأجهزة قامت بزرع باب خلفي داخل منتجاتها بشكل متعمد ثم أتاحت الوصول إليه لجهات إجرامية استخدمته في عمليات احتيال إلكتروني واسعة النطاق.
وتكشف القضية عن واحد من أخطر السيناريوهات الأمنية في عالم الأجهزة الذكية، إذ لم يكن المستخدمون ضحايا لبرمجيات خبيثة قاموا بتنزيلها لاحقاً، وإنما تلقوا أجهزة مزودة مسبقاً بباب خلفي مدمج داخل النظام منذ لحظة شرائها.
باب خلفي مدمج داخل الأجهزة منذ المصنع
بحسب تحقيقات جوجل، فإن شركة Videostrong الصينية، ومقرها مدينة شينزن، قامت بتضمين مكون برمجي خبيث يُعرف باسم x.cpe داخل عدد كبير من موديلات أجهزة أندرويد التلفزيونية التي تُباع تحت علامتها التجارية أو علامات تجارية أخرى.
وأكدت الشركة الأمريكية أنها تمتلك درجة عالية من الثقة في أن زرع الباب الخلفي كان إجراءً متعمداً وليس نتيجة خطأ برمجي أو تصرف فردي من موظف داخل الشركة.
ويعمل الباب الخلفي على مستوى النظام (System Level)، ما يمنحه صلاحيات واسعة للغاية داخل الجهاز. كما أنه مزروع داخل البرامج الثابتة Firmware، الأمر الذي يجعل اكتشافه أو التخلص منه أكثر تعقيداً مقارنة بالبرمجيات الخبيثة التقليدية.
وأشارت جوجل إلى أن مشغلي الشبكة كانوا يستخدمون هذا الباب الخلفي للاتصال بخوادم القيادة والسيطرة وانتظار الأوامر بشكل مستمر، مع القدرة على تثبيت تطبيقات إضافية دون علم المستخدم أو الحصول على صلاحيات تنفيذ أوامر عن بُعد.
كيف استغل القراصنة هذه الأجهزة؟
أوضحت التحقيقات أن المشغلين استغلوا الأجهزة المصابة في عدة أنشطة إجرامية، أبرزها الاحتيال الإعلاني وإنشاء شبكات بروكسي منزلية ضخمة.
وتسمح خدمات البروكسي السكني للمستخدمين أو الجهات الإجرامية بتمرير حركة الإنترنت الخاصة بهم عبر اتصالات منزلية حقيقية، بحيث تبدو الأنشطة الإلكترونية وكأنها قادمة من مستخدمين عاديين بدلاً من خوادم أو مراكز بيانات.
كما تمكن المهاجمون من استغلال الأجهزة لتنفيذ عمليات تزوير لمشاهدات الإعلانات الرقمية، الأمر الذي يحقق أرباحاً غير مشروعة على حساب المعلنين وشركات التسويق الإلكتروني.
وكشفت جوجل أن منفذي العملية استخدموا قدرات متقدمة داخل الأجهزة المصابة شملت التقاط لقطات شاشة مباشرة، وإرسال ضغطات لوحة المفاتيح عن بُعد، وسرقة بيانات الحسابات، وجمع قوائم التطبيقات المثبتة، والحصول على سجلات النظام، وتشغيل قنوات اتصال عكسية تمنحهم وصولاً مباشراً إلى الجهاز.
ويعني ذلك أن مالكي الأجهزة كانوا معرضين لخطر فقدان الخصوصية واختراق بياناتهم دون أي إشارات واضحة تدل على تعرضهم للاختراق.
انتشار عالمي واسع يشمل أكثر من 200 طراز
أفادت شركة TrendAI بأن التحليلات التي أجرتها بين الثالث من يونيو والأول من أكتوبر 2026 أظهرت وجود ما لا يقل عن 1,472,554 جهازاً مصاباً موزعة على 206 طرازات مختلفة.
وتصدرت ماليزيا والبرازيل والعراق والمكسيك وتايوان قائمة الدول الأكثر تضرراً من حيث أعداد الأجهزة المصابة.
كما تم رصد عشرات الآلاف من الأجهزة المصابة في الولايات المتحدة وألمانيا وبريطانيا وأستراليا وكندا، ما يؤكد الطبيعة العالمية لهذه الشبكة الإجرامية.
ولم تقتصر الإصابات على أجهزة التلفزيون الذكية فقط، إذ عُثر على الباب الخلفي أيضاً في أجهزة الرعاية الصحية عن بُعد، وأجهزة الكاراوكي الرقمية، وأنظمة اللافتات الإلكترونية المستخدمة في المؤسسات والمتاجر.
عملية دولية لتعطيل البنية الإجرامية
قادَت جوجل عملية قانونية وتقنية واسعة نجحت من خلالها في الاستيلاء على النطاقات والخوادم المستخدمة لإدارة الشبكة الخبيثة.
وشارك في العملية عدد من الجهات الأمنية والتقنية الدولية، بما في ذلك وكالة الشرطة الوطنية اليابانية وشركات Lumen وHUMAN Security وPlume وSynthient وTrendAI.
كما تمكنت العملية من تعطيل نطاقات القيادة والسيطرة المرتبطة بأكثر من اثنتي عشرة عائلة مختلفة من البرمجيات الخبيثة التي كانت تُثبت عبر الباب الخلفي.
وتعتقد جوجل أن تأثير العملية سيتجاوز 1.3 مليون جهاز، إذ تشير التقديرات إلى أنها ستمنع المجرمين من الوصول إلى ما لا يقل عن عشرة ملايين جهاز إضافي كانت مصابة عبر وسائل أخرى مرتبطة بالبنية نفسها.
وفي أعقاب التحقيقات، أعلنت جوجل قطع جميع علاقاتها مع Videostrong ومنعها، وكذلك أي شركات تابعة لها مستقبلاً، من تطوير أو بيع أجهزة أندرويد معتمدة رسمياً أو تزويد الشركات الأخرى ببرمجيات خاصة بالأجهزة المعتمدة.
لماذا يصعب التخلص من البرمجية الخبيثة؟
تكمن خطورة الباب الخلفي x.cpe في أنه جزء من البرامج الثابتة للجهاز وليس مجرد تطبيق يمكن إزالته.
فبحسب الباحثين، يعمل المكون الخبيث كتطبيق نظام موقّع بالمفاتيح الرقمية الخاصة بالشركة المصنعة، ما يجعله يعود للعمل تلقائياً بعد إعادة تشغيل الجهاز.
ولهذا السبب، فإن إزالة البرمجية الخبيثة بالطريقة التقليدية لا تحقق نتائج دائمة.
وأوضحت شركة TrendAI أن معالجة المشكلة تتطلب تدخلاً من الشركة المصنعة أو حماية على مستوى المنصة أو استبدال الجهاز بالكامل.
في حين أوصت شركة Plume بإجراء إعادة ضبط مصنع كاملة للأجهزة المصابة تحسباً لوجود برمجيات إضافية تم تثبيتها لاحقاً، لكنها لم تؤكد قدرة هذه العملية على إزالة الباب الخلفي الأساسي.
أما شركة Synthient فذهبت إلى أبعد من ذلك عندما نصحت المستهلكين بالتخلص من هذه الأجهزة نهائياً واستبدالها، معتبرة أنها تمثل خطراً أمنياً مستمراً على الشبكات المنزلية.
ثغرات في عملية اعتماد الأجهزة
أثارت الحادثة أيضاً تساؤلات مهمة حول آليات اعتماد الأجهزة الذكية من قبل جوجل.
فالشركة أكدت أن Videostrong نجحت في إخفاء أجزاء من الشيفرات المستخدمة خلال مراحل الاختبار الأمنية، ثم قامت بتحميل المكونات الخبيثة بعد الإقلاع الأول للجهاز، مستغلة ثغرة في منهجية التحقق السابقة.
ودفعت هذه الواقعة جوجل إلى تعديل إجراءات المراجعة الفنية وتعزيز عمليات فحص البرامج الثابتة الخاصة بالأجهزة المعتمدة بنظام Android TV، بهدف منع تكرار مثل هذه الحوادث مستقبلاً.
وتُعد هذه القضية مثالاً بارزاً على تنامي مخاطر سلاسل التوريد الرقمية، حيث لم يعد التهديد مقتصراً على البرمجيات التي ينزلها المستخدم أو الثغرات التي يستغلها المهاجمون لاحقاً، بل بات يمتد إلى مرحلة تصنيع الأجهزة نفسها، الأمر الذي يفرض على المؤسسات والحكومات والشركات التقنية تشديد الرقابة على الموردين ومراحل التوريد لضمان سلامة المنتجات منذ خروجها من خطوط الإنتاج.
