خیانت در سخت‌افزار؛ وقتی شریک گوگل ۱.۳ میلیون دستگاه را به بات‌نت تبدیل کرد

وقتی سخت‌افزار تبدیل به سلاح می‌شود

داستانِ هک شدن ۱.۳ میلیون دستگاه اندرویدی توسط شرکت چینی «ویدیو استرانگ» (Videostrong Technology Co) فقط یک خبر امنیتی ساده نیست؛ این یک سیلی به صورت تمام کسانی است که فکر می‌کنند با خرید یک ستاپ‌باکس ارزان‌قیمت از دیجی‌کالا یا آمازون، صاحب یک ابزار سرگرمی شده‌اند. در دنیای متن‌باز و سیستم‌های ایجنتیک، ما همیشه از اهمیت کنترل روی کرنل و حریم خصوصی صحبت می‌کنیم، اما اینجا با یک خیانتِ سطح‌بالا در لایه سخت‌افزار (Firmware) روبرو هستیم. این شرکت نه تنها یک درپشتی ساده، بلکه یک زیرساخت کامل برای بات‌نت (Botnet) را به صورت پیش‌فرض در فریم‌ور دستگاه‌های خود دفن کرده بود.

این اتفاق به ما یادآوری می‌کند که وقتی تولیدکننده، دسترسیِ روت (Root Access) به دستگاه دارد، «اعتماد» یک واژه کاملاً فانتزی است. این ۱.۳ میلیون دستگاه، بدون اینکه صاحب‌خانه بداند، به بخشی از یک شبکه سیاه برای کلاهبرداری تبلیغاتی (Ad-fraud) و استخراج داده تبدیل شده بودند. تصور کنید دستگاهی که برای تماشای محتوای استریم خریده‌اید، در پس‌زمینه در حال اجرای ترافیک غیرمجاز شبکه است و منابع اینترنت شما را برای اهداف مجرمانه به حراج گذاشته است.

معماری خیانت؛ از کارائوکه تا تجهیزات پزشکی

فاجعه زمانی عمیق‌تر می‌شود که لیست دستگاه‌های آلوده را بررسی می‌کنیم. این فقط ستاپ‌باکس‌های اندروید نبودند؛ پای دستگاه‌های کارائوکه، نمایشگرهای دیجیتال (Digital Signage) و حتی تجهیزات حساسِ پزشکی از راه دور (Telehealth) هم به این بات‌نت باز شده بود. این یعنی نفوذ به حریم خصوصی در حساس‌ترین سطوح ممکن.

روش کار Videostrong استادانه و در عین حال کثیف بود. آن‌ها از تکنیک‌های مبهم‌سازی (Obfuscation) برای تزریق بدافزار پس از اولین بوت دستگاه استفاده می‌کردند. یعنی وقتی شما دستگاه را از جعبه در می‌آورید و به اینترنت متصل می‌کنید، بدافزار به صورت مخفیانه از سرورهای فرمان و کنترل (C2) خود دستور می‌گرفت. گوگل اعلام کرده که این بدافزار با هدف کسب سود مالی مستقیم طراحی شده بود. این شرکت، دسترسی به این بات‌نت را به جنایتکاران دیگر می‌فروخت تا آن‌ها هم بتوانند ماژول‌های آلوده خود را روی سخت‌افزارهای مردم بارگذاری کنند. این یک اکوسیستمِ انگلیِ تمام‌عیار بود.

پایانِ عصرِ گواهینامه‌های بی‌دردسر

گوگل بالاخره مجبور شد دست به کار شود و Videostrong را از لیست شرکای تجاری خود حذف کند. حالا این شرکت دیگر اجازه ندارد هیچ دستگاه دارای گواهی اندروید تولید کند یا نرم‌افزاری برای آن عرضه کند. اما بیایید صادق باشیم؛ آیا این تنبیه کافی است؟ در دنیای متن‌باز، ما همیشه به دنبال شفافیت هستیم، اما اینجا با یک «دیوار بسته» (Closed-source) روبرو هستیم که تولیدکننده در آن پادشاهی می‌کند. گوگل می‌گوید فرآیند بررسی تولیدکنندگان را تغییر داده است، اما واقعیت این است که وقتی کد منبع فریم‌ور در اختیار جامعه توسعه‌دهندگان نباشد، چنین درپشتی‌هایی می‌توانند سال‌ها بدون شناسایی باقی بمانند.

من به عنوان کسی که روزانه با مدل‌های محلی مثل Llama یا DeepSeek کار می‌کنم و تمام تلاش خود را می‌کنم تا ایجنت‌های هوش مصنوعی را روی سخت‌افزار خودم (بدون نیاز به سرورهای ابری بیگانه) اجرا کنم، معتقدم که ما نیاز به یک تغییر پارادایم داریم. دستگاه‌های مصرفی باید به سمت متن‌باز شدنِ کاملِ فریم‌ور حرکت کنند. تا زمانی که سیستم‌عامل دستگاه شما یک «جعبه سیاه» باشد، شما مالک آن دستگاه نیستید؛ شما فقط مستأجرِ یک سخت‌افزار هستید که هر لحظه می‌تواند علیه شما استفاده شود.

درس‌های سخت برای امنیتِ آینده

این ماجرا باید زنگ خطری برای تمام مهندسان و کاربران باشد. ما در دورانی هستیم که دستگاه‌های IoT (اینترنت اشیا) به راحتی می‌توانند به سلاح‌های دیجیتال تبدیل شوند. وقتی یک تولیدکننده برای سود بیشتر، امنیتِ کاربران را به حراج می‌گذارد، تنها راه نجات، نظارتِ جامعه و فشار برای استفاده از فریم‌ورهای قابل‌تایید (Verified Firmware) است.

اگر از دستگاه‌های اندرویدی ارزان‌قیمت استفاده می‌کنید، حتماً ترافیک شبکه خود را با ابزارهایی مثل Pi-hole یا فایروال‌های محلی مانیتور کنید. به هیچ تولیدکننده‌ای اعتماد نکنید، حتی اگر برند معروفی روی بدنه دستگاه حک شده باشد. در نهایت، آزادی نرم‌افزار و سخت‌افزار، تنها راه دفاع در برابر این نوعِ جدید از «امپریالیسمِ دیجیتال» است. ما باید به سمتی برویم که بتوانیم سخت‌افزار خود را خودمان بازنویسی کنیم و بدافزارهای جاسازی شده در لایه پایین را با دسترسیِ مستقیم به کدهای متن‌باز شناسایی و حذف کنیم. دنیای فناوری دیگر جای ساده‌لوحی نیست؛ یا کنترل سخت‌افزارتان را در دست می‌گیرید، یا دستگاه‌تان علیه شما کار می‌کند.