شبكة XCPE الخبيثة: كيف تحولت 1.3 مليون جهاز Android TV إلى بوت نت؟

اختراق يبدأ من داخل جهاز التلفزيون

لم يعد الحديث عن البرمجيات الخبيثة مقتصراً على الحواسيب والهواتف الذكية. فقد كشفت مجموعة Google Threat Intelligence في 2 نوفمبر 2026 عن عملية واسعة استهدفت أجهزة استقبال التلفزيون العاملة بنظام Android، عُرفت باسم XCPE. ووفقاً للتحقيق المنشور، وصل عدد أجهزة الاستقبال التي جرى ضمها إلى الشبكة الخبيثة إلى أكثر من 1.3 مليون جهاز موزعة على أكثر من 200 دولة. تكمن خطورة الواقعة في أن البرمجية لم تعتمد بالضرورة على خداع المستخدم لتنزيل تطبيق مشبوه؛ بل كانت مزروعة في البرنامج الثابت لبعض الأجهزة قبل وصولها إلى المشترين.

هذه التفاصيل تجعل الحادثة مهمة لكل من يشتري جهاز Android TV Box منخفض التكلفة، ولكل شركة تعتمد على أجهزة إنترنت الأشياء في المنازل أو المؤسسات. فالجهاز الذي يبدو بسيطاً ومخصصاً لمشاهدة المحتوى قد يمتلك اتصالاً دائماً بالإنترنت، وصلاحيات نظام واسعة، وقدرة على تشغيل خدمات في الخلفية. وإذا أُسيء استخدام هذه القدرات، يمكن تحويله إلى نقطة ضمن بنية إجرامية أكبر من دون أن يلاحظ صاحبه ذلك بسهولة.

ما شبكة XCPE وكيف عملت؟

بحسب تحليل Google، ارتبطت البرمجية الخلفية XCPE بشركة تصنيع أجهزة Android تُدعى Videostrong Technology. وذكرت الشركة الأمنية أن البرمجية استُخدمت لتثبيت وحدات إضافية على الأجهزة المصابة، ثم إتاحة الوصول إليها لجهات أخرى مقابل عائد مالي. ويجب التمييز هنا بين ما أعلنته Google بوصفه نتيجة تحقيقها، وبين أي استنتاجات أوسع لا تثبتها البيانات المنشورة؛ فالمقال يشرح ما ورد في التقرير الأمني ولا يفترض أن كل جهاز Android TV أو كل جهاز من علامة تجارية بعينها مصاب.

أوضحت Google أن XCPE كانت تتواصل مع بنية تحكم عن بُعد، وأن بعض العينات استخدمت بروتوكول MQTT لإدارة الاتصال واستقبال التعليمات. وتضمنت القدرات التي رصدها الباحثون تثبيت تطبيقات عن بُعد، وتشغيل أوامر وسكربتات، وجمع معلومات عن الجهاز والشبكة، والتقاط صور للشاشة في بعض الحالات. كما وثّق التقرير محاولات لتعطيل آليات التحقق من التطبيقات مثل Google Play Protect. هذه الصلاحيات تفسر لماذا لا ينبغي التعامل مع جهاز التلفزيون باعتباره جهازاً غير مهم أمنياً.

لماذا يصعب اكتشاف هذا النوع من الإصابة؟

تختلف الإصابة المزروعة في البرنامج الثابت عن تطبيق خبيث يثبته المستخدم بنفسه. فقد يصل الجهاز إلى المستهلك وهو يحتوي بالفعل على مكوّن غير مرغوب فيه، وقد يعمل هذا المكوّن ضمن خدمات النظام أو يعيد تثبيت أجزاء منه بعد إعادة التشغيل. كما أن بعض الأجهزة الرخيصة لا تحصل على تحديثات أمنية منتظمة، ولا تقدم للمستخدم معلومات واضحة عن الشركة المسؤولة عن تحديث النظام أو مدة الدعم. لذلك قد لا تكشف إعادة ضبط المصنع وحدها المشكلة، خصوصاً إذا كان المكوّن موجوداً في صورة النظام الأساسية.

توضح الواقعة أيضاً أن اعتماد الجهاز على خدمات Google أو حصوله على اعتماد Android لا يعني أن المخاطر معدومة. فقد قالت Google إن أساليب التمويه المستخدمة سمحت بتحميل أجزاء ضارة بعد الإقلاع الأول، وإنها عدّلت إجراءات المراجعة والتحقق من سلامة البرامج الثابتة. الاعتماد الأمني يقلل المخاطر لكنه ليس ضماناً مطلقاً، ويظل مصدر الجهاز وتحديثاته وسجل الشركة المصنعة عناصر أساسية في قرار الشراء.

ما الذي كان يفعله المهاجمون بالأجهزة؟

أشارت نتائج التحقيق إلى استخدامات متعددة، أبرزها تحويل الأجهزة إلى عقد ضمن شبكات البروكسي السكنية. في هذا السيناريو يمرر الجهاز حركة مرور الإنترنت الخاصة بطرف ثالث عبر اتصال المنزل، فيبدو النشاط الخارجي وكأنه صادر من عنوان IP منزلي حقيقي. وقد تستغل هذه البنية لإخفاء مصدر النشاط أو تجاوز أنظمة الحماية الجغرافية، كما قد تُستخدم في أنشطة احتيالية. ورغم أن بعض خدمات مشاركة النطاق الترددي تعمل بموافقة المستخدم، فإن الخطر في XCPE تمثل في تشغيل هذه الوظائف دون علم أصحاب الأجهزة أو موافقتهم.

كما رصد الباحثون وحدات مرتبطة بالاحتيال الإعلاني، وهي ممارسات قد تولد زيارات أو تفاعلات وهمية بهدف تحقيق إيرادات غير مستحقة. وذكر التقرير كذلك إمكان تثبيت حمولات إضافية وسحب بيانات من الأجهزة، بما يشمل معلومات النظام والتطبيقات والسجلات وبعض بيانات الحسابات. ولا يعني ذلك أن كل مستخدم تعرض بالضرورة لسرقة كلمة المرور أو بياناته المصرفية؛ بل يعني أن وجود باب خلفي بهذه الصلاحيات يخلق احتمالاً حقيقياً للوصول غير المصرح به، ويستوجب التعامل مع الجهاز باعتباره غير موثوق إلى أن يتم التحقق منه.

كيف جرى تعطيل الشبكة؟

أعلنت Google أنها تعاونت مع جهات متخصصة وشركات أمنية، إلى جانب الوكالة الوطنية للشرطة في اليابان، لتعطيل خوادم ونطاقات التحكم المرتبطة بالتشغيل. وشملت الإجراءات القانونية والتقنية إيقاف البنية التي استخدمت لإدارة XCPE وبعض نطاقات التحكم الخاصة بوحدات خبيثة تابعة. كما قالت Google إنها أنهت علاقتها مع Videostrong ومنعتها والشركات التابعة المستقبلية من تصنيع أجهزة Android معتمدة تحمل تطبيقات Google أو توريد برمجيات لمورّدين معتمدين.

قدرت Google أن تعطيل نطاقات التحكم الخاصة بالشركاء الإجراميين يمكن أن يقطع الوصول إلى ما لا يقل عن عشرة ملايين جهاز إضافي تستخدمها تلك الجهات عبر قنوات توزيع أخرى. وهذا الرقم تقدير صادر عن Google وليس تعداداً مستقلاً لكل جهاز مصاب. كما أن تعطيل خوادم القيادة والسيطرة لا يساوي بالضرورة تنظيف كل جهاز من مكوناته؛ فقد تبقى ملفات أو إعدادات غير مرغوبة على بعض الأجهزة، وقد تحتاج إلى تحديث موثوق من الشركة المصنعة أو استبدال الجهاز.

كيف تتحقق من جهاز Android TV Box؟

إذا كنت تستخدم جهاز استقبال يعمل بنظام Android، فلا داعي للذعر أو افتراض الإصابة لمجرد أن الجهاز رخيص أو غير مشهور. لكن من الحكمة مراجعة مصدر الشراء، واسم الشركة المصنعة، ورقم الطراز، وإصدار البرنامج الثابت. ابحث عن صفحة دعم رسمية توفر تحديثات أمنية وسجل إصدارات واضحاً، وتجنب تثبيت ملفات APK من مواقع مجهولة أو منح تطبيقات البث صلاحيات لا تحتاج إليها.

• تحقق من الشركة المصنعة ورقم الطراز، ولا تعتمد على اسم العلامة التجارية المطبوع على العلبة فقط.
• افحص وجود تحديث نظام رسمي، وثبّت التحديثات من إعدادات الجهاز أو موقع الشركة المعتمد.
• راجع التطبيقات المثبتة وصلاحيات الوصول، واحذف التطبيقات غير المعروفة إذا كان النظام يسمح بذلك.
• لا تثبّت ملفات APK مجهولة المصدر، ولا تعطّل Google Play Protect لتشغيل تطبيق غير موثوق.
• غيّر كلمة مرور شبكة Wi-Fi إذا لاحظت نشاطاً غير معتاد، واستخدم شبكة ضيوف لأجهزة التلفزيون وإنترنت الأشياء عند توافرها.
• إذا كان الجهاز من طراز مشمول بتحذير موثوق ولا توجد له صورة نظام نظيفة أو تحديث رسمي، ففكر في إيقاف استخدامه واستبداله.

من المهم أيضاً عدم الاعتماد على تطبيق فحص واحد باعتباره دليلاً قاطعاً على سلامة الجهاز. فبرمجيات النظام ذات الصلاحيات المرتفعة قد تتجاوز بعض أدوات الفحص، كما أن إعادة ضبط المصنع قد لا تزيل مكوّناً مدمجاً في البرنامج الثابت. عند الشك الجدي، يكون التواصل مع الشركة المصنعة أو مزود الخدمة، والحصول على تحديث موثوق، أكثر أماناً من تنزيل أدوات تنظيف عشوائية.

دروس للمصنعين والمستهلكين

تؤكد قضية XCPE أن الأمن يبدأ قبل بيع الجهاز، لا بعد وصوله إلى المنزل. على الشركات المصنعة حماية سلسلة توريد البرامج، وتوقيع تحديثات النظام رقمياً، ومنع تثبيت مكونات غير موثقة بعد الإعداد الأول، وتوفير سجل دعم أمني مفهوم للمستهلك. كما ينبغي أن تكون صلاحيات التطبيقات محدودة، وأن تخضع مكونات النظام لمراجعة مستقلة واختبارات مستمرة، لا لاختبار اعتماد واحد قبل الشحن.

أما المستهلك، فعليه النظر إلى سياسة التحديثات وسمعة الشركة وخدمة ما بعد البيع باعتبارها جزءاً من مواصفات الجهاز، تماماً مثل الذاكرة والمعالج ودقة العرض. السعر المنخفض قد يكون جذاباً، لكنه لا يعوض غياب التحديثات أو غموض مصدر البرنامج الثابت. والأفضل شراء جهاز معروف المصدر ويحصل على تحديثات منتظمة، حتى لو كانت مواصفاته أقل قليلاً.

الخلاصة: التلفزيون المتصل جزء من أمن المنزل

تكشف عملية تعطيل XCPE أن أجهزة Android TV وملحقات المنزل الذكي أصبحت أهدافاً ذات قيمة للمجرمين الإلكترونيين؛ لأنها متصلة باستمرار، وتُترك غالباً دون مراقبة، وقد تعمل لسنوات من دون تحديث. لا تثبت الحادثة أن جميع أجهزة Android TV مصابة، لكنها تقدم دليلاً واضحاً على خطورة البرمجيات المزروعة في البرامج الثابتة وعلى أهمية اختيار الأجهزة من مورد موثوق. الخطوة العملية الآن هي فحص مصدر جهازك وتحديثاته، ومراجعة إعدادات الشبكة، واستبدال أي جهاز لا يستطيع مورّده تقديم تحديث أمني موثوق له.

الأمان الحقيقي لا يتوقف عند كلمة مرور قوية؛ بل يبدأ من الثقة في البرنامج الثابت الذي يصل به الجهاز إلى منزلك.

للمزيد من التفاصيل التقنية، راجع تحليل Google Threat Intelligence لشبكة XCPE وإعلان Plume عن عملية التعطيل. ينبغي الرجوع إلى هذه المصادر عند تحديث المقال، لأن التحقيقات الأمنية قد تكشف مؤشرات وأسماء طرازات إضافية مع مرور الوقت.