Google совместно с рядом партнёров по кибербезопасности и правоохранительными органами нейтрализовала ботнет под названием XCPE, в который входило более 1,3 млн телеприставок под управлением Android. По оценке поискового гиганта, устройства заражались не через уязвимости в программном обеспечении, а на этапе производства: производитель намеренно встраивал в прошивку скрытый канал удалённого доступа — бэкдор — и впоследствии продавал возможность управления скомпрометированными устройствами злоумышленникам. С высокой степенью вероятности Google связывает инфраструктуру ботнета с китайским производителем электроники Videostrong Technology, которого компания обвиняет в многолетнем распространении вредоносного кода в устройствах различных брендов и моделей.
Бэкдор в прошивке и модульная архитектура
Ключевая особенность XCPE — его внедрение непосредственно в прошивку устройств ещё на заводе, что исключало классический сценарий заражения через эксплойт уязвимости. Основной компонент бэкдора работал с системными привилегиями Android, что давало операторам полный контроль над устройством. Архитектура вредоноса была модульной: функции бэкдора были отделены от модулей, предназначенных для извлечения дохода в интересах сторонних партнёров. После включения заражённой приставки компонент XCPE связывался с командным сервером, получал данные для подключения и учётные данные для брокера сообщений MQTT, через который операторы дистанционно управляли устройствами и запускали вредоносные действия. Чтобы уходить от обнаружения, злоумышленники постоянно меняли структуру программы: в конце 2024 года Videostrong, по данным Google, перешла на отдельный загрузчик для запуска модулей, а в августе отделила эту функцию в более компактные специализированные дропперы, маскировавшиеся под системные приложения Android.
На что шли заражённые устройства
Скомпрометированные приставки использовались для нескольких типов киберпреступной деятельности. Часть модулей была связана с сервисами резидентных прокси — Linkfog, AppSalt/Honeygain, GaGaNode, NetNut и Traffmonetizer, — которые перенаправляли интернет-трафик третьих лиц через заражённые устройства без ведома и согласия их владельцев. Другие модули применялись в схемах рекламного мошенничества: генерировались показы, загружались скрытые веб-страницы, имитировались клики по объявлениям. Через бэкдор также загружались дополнительные вредоносы — Moyu, Spirit и Bird — для доставки и запуска более «дорогих» нагрузок. Таким образом, бэкдор фактически выступал платформой, на которой сторонние преступные группировки размещали собственные модули.
Как ботнет связали с Videostrong
Связь между бэкдором XCPE и компанией Videostrong установила компания Synthient. По её данным, в конце 2025 года на приобретённой приставке Mecool KM9PRO Max под Android TV было обнаружено вредоносное ПО. Специалисты нашли общедоступный каталог с бэкдорами, в котором хранилась папка с файлом PDF, автором которого значился директор по исследованиям и разработке Videostrong Оуэн Цао (Owen Cao). Это позволило атрибутировать инфраструктуру конкретному производителю. В операции по нейтрализации, помимо Google, участвовали Национальное полицейское агентство Японии, а также компании Lumen, Human Security, Plume, Synthient и TrendAI, которые совместно проанализировали вредоносную инфраструктуру и пресекли её работу.
Ответ Google и последствия для производителя
В ответ на выявленное нарушение Google разорвала отношения с Videostrong: компания отозвала у производителя лицензию на выпуск устройств под управлением Android TV с предустановленными приложениями и сервисами Google, а также запретила компании и её аффилированным структурам выпускать сертифицированные Android-устройства или поставлять программное обеспечение для сертифицированных производителей. По утверждению Google, Videostrong распространяла вредоносное ПО на протяжении нескольких лет, постоянно совершенствуя функциональность бэкдора, чтобы избегать обнаружения и удовлетворять запросы различных преступных группировок.
Риск для российских пользователей
Проблема затронула и российских пользователей: Google отметила Россию как страну, в которой присутствуют заражённые устройства. Устройства Videostrong реализуются в России на популярных торговых площадках — причём не только с доставкой из Китая, но и через местных продавцов. Это означает, что риск приобретения уже скомпрометированной приставки сохраняется, даже если ботнет официально нейтрализован, поскольку ранее выпущенные устройства могут продолжать функционировать в составе вредоносной инфраструктуры до полного отключения операторами.
