מיליוני משקי בית רואים בממיר הטלוויזיה או בקופסת האנדרואיד המחוברת למסך בסלון מכשיר בידור תמים שנועד להזרים שידורים, סדרות וסרטים. אולם חקירת סייבר חמורה שפרסמה חברת גוגל חושפת מציאות מטרידה בהרבה: מותג הסטרימרים הפופולרי MECOOL, שנחשב ללהיט מכירות ענק באתרי קניות כמו אליאקספרס ואמזון ומככב בקבוצות רכישה וקופונים בישראל, הפך בחשאי יחד עם עוד מותגים נוספים, לרשת בוטים פלילית בשם XCPE שהודבקה על גבי יותר מ-1.3 מיליון ממירים מבוססי Android TV ברחבי העולם.
Google Disrupts Massive Android TV Malware Network
Google has disrupted a malware botnet affecting more than 1.3 million Android TV boxes, including some certified devices. With the malware embedded in firmware
Read More: https://t.co/LRJ98EfjP4
#PCQuest #Google https://t.co/44XkMI6YRd
— PCQuest (@pcquest) November 4, 2026
לפי קבוצת המודיעין וחקר האיומים של גוגל, מי שעומדת מאחורי המהלך היא חברת החומרה הסינית Videostrong Technology הפועלת משנג'ן. החברה מייצרת מוצרי אלקטרוניקה עבור שורת מותגים ומשמשת כיצרנית הרשמית של MECOOL. לפי ממצאי החקירה, החברה הצליחה לחמוק מתהליך ההסמכה והסריקה הרשמי של גוגל, שמיועד לבלום איומים מראש, באמצעות טכניקות השהיה מתוחכמות: במקום להטמיע את הנוזקה מראש בקוד שנבדק במעבדות, היצרנית שילבה בקושחה רכיב קטן בשם x.cpe או com.oemservice, אשר הוריד והתקין את הדלת האחורית רק לאחר שהצרכן ביצע את האתחול הראשון בביתו.
מיד לאחר ההפעלה השקטה, היישום הזדוני נטרל באופן אוטומטי את מנגנון ההגנה המובנה של גוגל, Play Protect, כדי שהמערכת לא תקפיץ התראות אבטחה על התקנות קוד לא מורשות. משם והלאה, ליצרנית הסינית ניתנה שליטה מוחלטת על הנעשה בסלון הלקוחות. הניתוח הטכני של גוגל העלה כי המפעילים לא רק החזיקו ביכולות ריגול ברמת הקוד, אלא ביצעו אותן בפועל בשטח: הריצו פקודות טרמינל מרוחקות, צילמו את תצוגת המסך החיה, אספו הקלדות של המשתמשים, שלפו פרטי חשבונות וסיסמאות, הקימו ערוצי שליטה חשאיים, ומיפו במדויק את כלל המכשירים המחוברים לרשת ה-Wi-Fi הביתית של הקורבנות.
המודל העסקי של המפעילים התבסס על מכירת גישה ל"שותפים" ולגורמי פשיעה ברשת, שהטעינו למכשירים מודולים זדוניים לפי דרישה. הממירים שימשו בעיקר כרשת פרוקסי ביתית שניתבה תעבורת אינטרנט מפוקפקת ופלילית דרך כתובות ה-IP האזרחיות של הרוכשים, לצד ביצוע הונאות פרסום בהיקפי ענק. מכיוון שמכשירי MECOOL שווקו בישראל בהרחבה כסטרימרים מומלצים וזולים בעלי תמיכה רשמית באנדרואיד, מפת האיומים של גוגל הציגה את ישראל כאחד ממוקדי ההדבקה הבולטים של הרשת.
כדי לסכל את המשך הפעילות, גוגל שיתפה פעולה עם משטרת יפן ועם שורת חברות אבטחת מידע בינלאומיות. הכוחות השביתו במשותף את הדומיינים ופשטו על שרתי השליטה והבקרה של הרשת, מה שניתק את הקשר של התוקפים ליותר מעשרה מיליון מכשירים נגועים נוספים שפעלו ברחבי העולם. במקביל, גוגל ניתקה לחלוטין את יחסיה מול Videostrong, שללה ממנה את רישיונות האנדרואיד הרשמיים, ואסרה עליה להפיץ מכשירים מורשים.
למרות הפלת השרתים, עבור המשתמשים מדובר במלכודת חומרה מסוכנת. אמנם המכשירים אינם מתקשרים כעת עם שרתי התקיפה שנסגרו, אך רכיב הדלת האחורית נותר צרוב עמוק בתוך קושחת המערכת בהרשאות ניהול גבוהות, וממשיך להתקין את עצמו מחדש בכל אתחול של המכשיר מבלי שניתן להסירו באמצעים רגילים. הפרשה מוכיחה שוב את כלל הברזל בסייבר: הימנעו מרכישת ממירי טלוויזיה זולים ועלומים ברשת. החיסכון של כמה עשרות שקלים באתרי הקניות אינו שווה את הפקרת הפרטיות והפיכת הסלון הביתי לכלי שרת בידי האקרים.
