# Google ทลาย XCPE botnet Videostrong ในกล่อง Android TV 1.3 ล้านเครื่อง แบนผู้ผลิต

> Google ร่วมพาร์ตเนอร์ทลาย XCPE botnet Videostrong ที่ฝังมัลแวร์ในกล่อง Android TV กว่า 1.3 ล้านเครื่อง แล้วแบนผู้ผลิตจากอุปกรณ์ที่ได้รับการรับรอง

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-11-04T12:55:00.000Z · อัปเดต: 2026-11-04T12:55:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/xcpe-botnet-videostrong-android-tv-box-google-takedown/

## สรุปประเด็นสำคัญ

- Google Threat Intelligence Group (GTIG) รายงานเมื่อ **3 พฤศจิกายน 2026** ว่าทลาย **XCPE botnet Videostrong** ที่ดึงกล่องรับสัญญาณ Android TV มากกว่า **1.3 ล้านเครื่อง** เข้าเป็นบอตเน็ต
- GTIG ประเมินด้วยความมั่นใจสูงว่า **Videostrong Technology Co.** ผู้ผลิตและออกแบบอุปกรณ์ Android ในจีน พัฒนาและใช้งานบอตเน็ตนี้เพื่อหารายได้ และ Google ตัดความสัมพันธ์พร้อมห้ามทำอุปกรณ์ที่ติดแอป Google สำเร็จรูป
- การปิดโดเมนควบคุมของกลุ่มผู้ร่วมขบวนการ (affiliate) จะตัดการเข้าถึงอุปกรณ์ที่ถูกเจาะ **อย่างน้อย 10 ล้านเครื่อง** เพิ่มเติม ตามการประเมินของ GTIG
- มัลแวร์ฝังในเฟิร์มแวร์ 1 พาร์ติชันและทำงานที่สิทธิ์ android.uid.system ซึ่งเป็นระดับระบบ ลบแล้วติดตั้งกลับจากพาร์ติชัน /oem/ เมื่อรีบูต และปิด Google Play Protect เองโดยไม่แจ้งผู้ใช้
- Google แจ้งว่าแก้ช่องว่างในกระบวนการทดสอบรับรองอุปกรณ์แล้ว และแนะนำให้ซื้ออุปกรณ์ต่อพ่วงอย่างกล่องรับสัญญาณจากผู้ผลิตที่น่าเชื่อถือตามรายชื่อพาร์ตเนอร์ของ Android TV

Google Threat Intelligence Group (GTIG) เผยแพร่รายงานเมื่อ 3 พฤศจิกายน 2026 ว่า Google และพาร์ตเนอร์ในอุตสาหกรรมทลาย XCPE botnet Videostrong ซึ่งดึงกล่องรับสัญญาณ Android TV มากกว่า 1.3 ล้านเครื่องเข้าเป็นบอตเน็ต GTIG ประเมินด้วยความมั่นใจสูงว่า Videostrong Technology Co. ผู้ผลิตอุปกรณ์ Android ในจีน เป็นผู้ตั้งใจพัฒนาและใช้งานแบ็กดอร์นี้เพื่อหารายได้ Google จึงตัดความสัมพันธ์และห้ามบริษัทผลิตอุปกรณ์ที่ติดแอปของ Google

ข่าวนี้ยังไม่พบคำชี้แจงจาก Videostrong ต่อรายงานของ GTIG ทั้งในรายงานของ KrebsOnSecurity (2 พฤศจิกายน 2026) และบนเว็บไซต์ของบริษัท ณ เวลาที่เราตรวจเมื่อ 4 พฤศจิกายน 2026

ข้อมูลทั้งหมดในข่าว XCPE botnet Videostrong นี้มาจากรายงานของ GTIG เป็นหลัก และเป็นการประเมินของ Google และพาร์ตเนอร์ ไม่ใช่คำพิพากษาของศาล ข่าวนี้ไม่ได้ระบุว่ามีเครื่องในประเทศไทยกี่เครื่อง เพราะข้อความของรายงานที่เราเปิดอ่านไม่มีตัวเลขรายประเทศ

## XCPE botnet Videostrong ทำงานอย่างไร

![หน้ารายงาน GTIG เรื่อง XCPE botnet Videostrong ลงวันที่ 3 พฤศจิกายน 2026 บนบล็อก Google Cloud](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/xcpe-botnet-videostrong-android-tv-box-google-takedown/xcpe-botnet-gtig-report-page.webp?v=1c882bd1) _(ภาพ: Google Cloud Blog (ภาพหน้าจอ))_

ตามรายงาน Videostrong ใช้วิธีฝังมัลแวร์มากับตัวเครื่องตั้งแต่โรงงาน ไม่ได้หลอกให้ผู้ใช้ติดตั้งเอง GTIG ระบุว่าตั้งแต่อย่างน้อยปลายปี 2024 มัลแวร์พัฒนาจากตัวดาวน์โหลดขั้นเดียวเป็นโครงสร้างสามขั้นที่ทนทานและให้หลายกลุ่มเช่าใช้ได้พร้อมกัน

| ขั้น | ชื่อชิ้นส่วน | หน้าที่ตามรายงาน |
| --- | --- | --- |
| แบ็กดอร์หลัก | x.cpe (บางรุ่นชื่อ com.oemservice) | ฝังในพาร์ติชันเฟิร์มแวร์ ทำงานที่สิทธิ์ android.uid.system คุยกับเซิร์ฟเวอร์ควบคุมและตัวโหลด |
| ตัวโหลด | com.abc.nexus | ตั้งค่าและรันโมดูลหารายได้ มีเทคนิคหลบการตรวจในแซนด์บ็อกซ์ |
| โมดูลหารายได้ | พัฒนาโดยผู้ร่วมขบวนการ | ทำโฆษณาปลอม เปลี่ยนเครื่องเป็นจุดออกของพร็อกซีบ้าน และโหลดแบ็กดอร์เพิ่ม |

![ผังระบบนิเวศมัลแวร์ XCPE ที่ GTIG เผยแพร่ แสดงเซิร์ฟเวอร์ควบคุม แบ็กดอร์ ตัวโหลด และโมดูลบนกล่อง Android TV](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/xcpe-botnet-videostrong-android-tv-box-google-takedown/xcpe-botnet-videostrong-malware-ecosystem.webp?v=8ca6c8fc) _(ภาพ: Google Threat Intelligence Group)_

แบ็กดอร์หลักของ XCPE botnet Videostrong มีพฤติกรรมที่ผู้ใช้ทั่วไปแก้เองได้ยาก ถ้าผู้ใช้ถอนการติดตั้ง ตัวเครื่องจะติดตั้งกลับจากพาร์ติชัน /oem/ เมื่อรีบูต และมัลแวร์ตั้งค่าระบบให้ปิดการตรวจแอปของ Google Play Protect ก่อนดาวน์โหลดไฟล์เพิ่มมารันโดยไม่ขอความยินยอม คำสั่งต่าง ๆ ส่งผ่านการเชื่อมต่อ MQTT ไปยังโบรกเกอร์ตัวเดียว และไฟล์ที่ต้องโหลดจำนวนมากถูกเก็บเป็น GitHub release ของบัญชีที่ผู้ปฏิบัติการเป็นเจ้าของ

## Google ทลาย XCPE botnet Videostrong และแบนผู้ผลิตอย่างไร

Google ระบุการดำเนินการ 4 อย่างในรายงาน คือ ดำเนินคดีเพื่อปิดโดเมนและเซิร์ฟเวอร์ที่ Videostrong ใช้ควบคุมบอตเน็ต ดำเนินคดีเพื่อปิดโดเมนควบคุมของมัลแวร์กว่าสิบตระกูลที่ถูกโหลดผ่านแบ็กดอร์ ห้าม Videostrong และบริษัทในเครือในอนาคตผลิตหรือขายอุปกรณ์ Android ที่ได้รับการรับรอง รวมถึงห้ามส่งซอฟต์แวร์ให้ผู้ผลิตรายอื่นที่ได้รับการรับรอง และปรับปรุงวิธีตรวจความสมบูรณ์ของเฟิร์มแวร์บนอุปกรณ์ Android TV ที่ได้รับการรับรอง

Google บอกว่า Videostrong ใช้เทคนิคซ่อนโค้ดเพื่อหลบช่องว่างในชุดทดสอบความเข้ากันได้และความปลอดภัยของ Android โดยโหลดโค้ดอันตรายหลังเปิดเครื่องครั้งแรก และบริษัทได้ปรับกระบวนการตรวจแล้ว ผู้ร่วมงานที่รายงานระบุไว้คือ สำนักงานตำรวจแห่งชาติญี่ปุ่น Lumen, HUMAN Security, Plume, Synthient และ TrendAI

![หน้าหลักของ Android TV บนเว็บไซต์ Google ซึ่งเป็นแพลตฟอร์มที่รายงานระบุว่าถูกใช้เป็นฐานของกล่องรับสัญญาณในข่าว XCPE botnet Videostrong](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/xcpe-botnet-videostrong-android-tv-box-google-takedown/android-tv-home-screen.webp?v=5a5ea0b3) _(ภาพ: Google (Android TV))_

## ความเสียหายจาก XCPE botnet Videostrong ต่อเครือข่ายที่ใช้กล่องเหล่านี้

โมดูลที่ถูกโหลดผ่าน XCPE botnet Videostrong มีทั้งโฆษณาปลอมแบบเบื้องหลัง และ SDK ของบริการเช่า IP บ้านที่เปลี่ยนเครื่องให้เป็นทางผ่านของทราฟฟิกคนอื่น รายงานระบุชื่อ SDK ที่พบ เช่น AppSalt, GaGaNode, NetNut/Popanet, Traffmonetizer และ EarnFM รวมถึงแบ็กดอร์อย่าง Moyu และ Spirit ที่โหลดโมดูลเพิ่มได้อีก GTIG ระบุว่าบางโมดูลเปิดใช้โดยกดยินยอมแทนผู้ใช้โดยไม่แสดงหน้าจอขอความยินยอม และรายงานของ KrebsOnSecurity เพิ่มว่ามัลแวร์ชุดเดียวกันพบในอุปกรณ์ Android อื่น เช่น อุปกรณ์สื่อสารทางการแพทย์ เครื่องคาราโอเกะ และป้ายดิจิทัล

สำหรับเครือข่ายขององค์กร XCPE botnet Videostrong มีความหมายตรงไปตรงมา คือ กล่องที่ถูกเจาะเปิดให้คนภายนอกส่งทราฟฟิกออกจาก IP ของสำนักงาน โรงแรม หรือร้านค้า และอุปกรณ์ที่อยู่ในเครือข่ายเดียวกันอาจได้รับผลตามไปด้วย โดย GTIG ย้ำว่าตัวกลุ่มร่วมขบวนการมีช่องทางกระจายมัลแวร์อื่นนอกเหนือจาก XCPE การปิดโดเมนจึงไม่ได้ทำให้ตลาดนี้หายไป

## ทำไมข่าว XCPE botnet Videostrong จึงสำคัญ

กรณี XCPE botnet Videostrong ต่างจากมัลแวร์ที่ผู้ใช้เผลอติดตั้ง เพราะต้นทางคือผู้ผลิตอุปกรณ์เอง Google เรียกว่าเป็นการละเมิดความไว้วางใจที่ยอมรับไม่ได้ และชี้ว่าแบรนด์ปลายน้ำ ผู้ขายแบรนด์ขาว ผู้ให้บริการโทรคมนาคม และตลาดออนไลน์ มีส่วนรับผิดชอบในการปิดช่องทางนี้ด้วย กล่องรับสัญญาณราคาถูกที่ซื้อจากตลาดออนไลน์จึงเป็นความเสี่ยงของห่วงโซ่อุปทานที่ฝ่ายไอทีมองข้ามได้ง่าย เพราะไม่ได้ลงทะเบียนในระบบจัดการเครื่องขององค์กร

ข่าวความปลอดภัยของ Android ล่าสุดที่เกี่ยวข้องกับการอัปเดตเครื่อง อ่านเพิ่มได้ที่ [Android Security Bulletin พฤศจิกายน 2026](/security/android-security-bulletin-november-2026/) แต่แพตช์รายเดือนไม่ช่วยในกรณีนี้ เพราะมัลแวร์อยู่ในเฟิร์มแวร์ที่ผู้ผลิตใส่มา

## สิ่งที่องค์กรไทยควรทำหลังข่าว XCPE botnet Videostrong

1. **ทำรายการอุปกรณ์ Android ที่ไม่ใช่คอมพิวเตอร์** เช่น กล่องรับสัญญาณในห้องประชุมและล็อบบี้ ป้ายดิจิทัล เครื่องคาราโอเกะ และอุปกรณ์ในห้องพักหรือหน้าร้าน แล้วระบุยี่ห้อ รุ่น และแหล่งที่ซื้อ
2. **แยกอุปกรณ์เหล่านี้ไปไว้ใน VLAN ของตัวเอง** ไม่ให้เห็นเครื่องพนักงานและเซิร์ฟเวอร์ และตั้งกฎให้ออกอินเทอร์เน็ตได้เท่าที่จำเป็น
3. **ตรวจบันทึกการเชื่อมต่อขาออก** ว่ามีเครื่องใดติดต่อโครงสร้างของ XCPE botnet Videostrong ตามที่รายงานระบุหรือไม่ เช่น โบรกเกอร์ MQTT ที่ใช้พอร์ต 3885 ถึง 3887 และโดเมน *.anyevonline[.]com กับ szbboys[.]com ซึ่งรายชื่อ IoC ฉบับเต็มอยู่ท้ายรายงานของ GTIG
4. **เปลี่ยนไปใช้อุปกรณ์ที่ผู้ผลิตได้รับการรับรองและอยู่ในรายชื่อพาร์ตเนอร์ของ Android TV** และกำหนดในนโยบายจัดซื้อว่าไม่ซื้ออุปกรณ์ที่เปิดมาแล้วมีแอปแลกรายได้จากแบนด์วิดท์ติดมา
5. **ห้ามติดตั้งแอปประเภท "แบ่งอินเทอร์เน็ตที่ไม่ได้ใช้แลกเงิน"** บนอุปกรณ์ของที่ทำงานและอุปกรณ์ที่เชื่อมเครือข่ายเดียวกัน ตามที่ Google เตือนผู้บริโภค

ติดตามข่าวความปลอดภัยไซเบอร์อื่น ๆ ได้ที่[หมวด Security](/security/)

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

อุปกรณ์อย่างกล่องรับสัญญาณและป้ายดิจิทัลมักไม่อยู่ในทะเบียนเครื่องขององค์กร จึงไม่มีใครตรวจว่าเครื่องใดเชื่อมต่อออกไปที่ใด [IT Support](https://thaidata.cloud/it-support/) ของ THAI DATA CLOUD ดูแลเครื่องพนักงาน เซิร์ฟเวอร์ และเครือข่าย แจ้งผ่าน Ticket ที่ตรวจสอบได้ ตอบภายใน 6 ชั่วโมง โดยทีมไทย 24x7 (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

## คำถามที่พบบ่อย

### XCPE botnet Videostrong คืออะไร?

XCPE botnet Videostrong คือบอตเน็ตที่เกิดจากแบ็กดอร์ x.cpe ซึ่งถูกฝังมากับเฟิร์มแวร์ของกล่องรับสัญญาณ Android TV ที่ Videostrong Technology ผลิต GTIG ประเมินว่าอุปกรณ์ถูกใช้ทำโฆษณาปลอม เปิดให้เช่า IP บ้านเป็นพร็อกซี และโหลดมัลแวร์เพิ่มโดยผู้ใช้ไม่รู้ตัว

### Google ทำอะไรกับ XCPE botnet Videostrong บ้าง?

Google ดำเนินคดีเพื่อปิดโดเมนและเซิร์ฟเวอร์ที่ใช้ควบคุมบอตเน็ตและโดเมนควบคุมของมัลแวร์กว่าสิบตระกูลที่ถูกโหลดผ่านแบ็กดอร์ ห้าม Videostrong และบริษัทในเครือผลิตหรือขายอุปกรณ์ Android ที่ได้รับการรับรอง และปรับปรุงการตรวจความสมบูรณ์ของเฟิร์มแวร์บนอุปกรณ์ Android TV ที่ได้รับการรับรอง

### ผู้ใช้กล่อง Android TV ควรทำอย่างไรหลังข่าว XCPE botnet Videostrong?

หลังข่าว XCPE botnet Videostrong Google แนะนำให้ระวังแอปที่จ่ายเงินแลกกับการแบ่งแบนด์วิดท์ที่ไม่ได้ใช้ ติดตั้งแอปจากร้านค้าที่เชื่อถือได้ ตรวจสิทธิ์ของแอป VPN และพร็อกซีของบุคคลที่สาม และซื้อกล่องรับสัญญาณจากผู้ผลิตที่น่าเชื่อถือตามรายชื่อพาร์ตเนอร์บนเว็บไซต์ Android TV ของ Google

### รายงานเรื่อง XCPE botnet Videostrong ระบุจำนวนเครื่องในประเทศไทยหรือไม่?

ในรายงาน XCPE botnet Videostrong ของ GTIG ที่เราเปิดอ่านไม่มีตัวเลขอุปกรณ์ที่ติดเชื้อในประเทศไทย รายงานระบุเพียงว่ามัลแวร์ฝังในอุปกรณ์หลายรุ่นหลายแบรนด์ตลอดหลายปี และมีบอตเน็ตมากกว่า 1.3 ล้านเครื่องทั่วโลก องค์กรไทยจึงควรตรวจกล่องรับสัญญาณที่ตนใช้เองแทนการรอตัวเลขรายประเทศ


## แหล่งอ้างอิง

- [Shutting the Door on the XCPE Botnet](https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet) — Google Threat Intelligence Group (Google Cloud Blog)
- [Android TV](https://www.android.com/tv/) — Google (Android TV)
- [Tech Firms Dismantle Botnet That Turned 1.3M TV Boxes Into Proxies](https://krebsonsecurity.com/2026/11/tech-firms-dismantle-botnet-that-turned-1-3m-tv-boxes-into-proxies/) — KrebsOnSecurity