--- title: "Google ликвидировала ботнет XCPE из 1,3 млн телеприставок: вредонос вшивали в прошивку на заводе" description: "Google и партнёры ликвидировали ботнет XCPE из более чем 1,3 млн Android-телеприставок, в которые производитель Videostrong, по версии компании, вшивал бэкдор на заводе. Заражённые устройства продаются и в России." date: 2026-11-04T03:02:00.248Z lang: ru url: https://xab.info/posts/google-likvidirovala-botnet-xcpe-tv-pristavok tags: [google, botnet, android-tv, cybersecurity, videostrong, tv-boxes] author: "Александр Буран" publisher: "XAB.info" --- # Google ликвидировала ботнет XCPE из 1,3 млн телеприставок: вредонос вшивали в прошивку на заводе ![человек держит в руке пульт дистанционного управления на фоне экрана телевизора](https://xab.info/media/2026/11/04/google-likvidirovala-botnet-xcpe-tv-pristavok/google-likvidirovala-botnet-xcpe-tv-pristavok-1.webp) ## Ключевые тезисы - Google при поддержке партнёров нейтрализовала ботнет XCPE из более чем 1,3 млн Android-телеприставок - Вредонос внедрялся в прошивку на этапе производства, а не через уязвимости ПО - Google с высокой вероятностью связывает ботнет с китайским производителем Videostrong Technology - Google отозвала у Videostrong лицензию на выпуск Android TV-устройств и запретила сертифицировать Android-продукцию - Заражённые устройства применялись для прокси-сетей, рекламного мошенничества и загрузки дополнительного вредоноса - Россия указана Google среди стран с присутствием заражённых устройств; приставки Videostrong продаются и на локальных площадках Google совместно с рядом партнёров по кибербезопасности и правоохранительными органами нейтрализовала ботнет под названием XCPE, в который входило более 1,3 млн телеприставок под управлением Android. По оценке поискового гиганта, устройства заражались не через уязвимости в программном обеспечении, а на этапе производства: производитель намеренно встраивал в прошивку скрытый канал удалённого доступа — бэкдор — и впоследствии продавал возможность управления скомпрометированными устройствами злоумышленникам. С высокой степенью вероятности Google связывает инфраструктуру ботнета с китайским производителем электроники Videostrong Technology, которого компания обвиняет в многолетнем распространении вредоносного кода в устройствах различных брендов и моделей. ### Бэкдор в прошивке и модульная архитектура Ключевая особенность XCPE — его внедрение непосредственно в прошивку устройств ещё на заводе, что исключало классический сценарий заражения через эксплойт уязвимости. Основной компонент бэкдора работал с системными привилегиями Android, что давало операторам полный контроль над устройством. Архитектура вредоноса была модульной: функции бэкдора были отделены от модулей, предназначенных для извлечения дохода в интересах сторонних партнёров. После включения заражённой приставки компонент XCPE связывался с командным сервером, получал данные для подключения и учётные данные для брокера сообщений MQTT, через который операторы дистанционно управляли устройствами и запускали вредоносные действия. Чтобы уходить от обнаружения, злоумышленники постоянно меняли структуру программы: в конце 2024 года Videostrong, по данным Google, перешла на отдельный загрузчик для запуска модулей, а в августе отделила эту функцию в более компактные специализированные дропперы, маскировавшиеся под системные приложения Android. ### На что шли заражённые устройства Скомпрометированные приставки использовались для нескольких типов киберпреступной деятельности. Часть модулей была связана с сервисами резидентных прокси — Linkfog, AppSalt/Honeygain, GaGaNode, NetNut и Traffmonetizer, — которые перенаправляли интернет-трафик третьих лиц через заражённые устройства без ведома и согласия их владельцев. Другие модули применялись в схемах рекламного мошенничества: генерировались показы, загружались скрытые веб-страницы, имитировались клики по объявлениям. Через бэкдор также загружались дополнительные вредоносы — Moyu, Spirit и Bird — для доставки и запуска более «дорогих» нагрузок. Таким образом, бэкдор фактически выступал платформой, на которой сторонние преступные группировки размещали собственные модули. ### Как ботнет связали с Videostrong Связь между бэкдором XCPE и компанией Videostrong установила компания Synthient. По её данным, в конце 2025 года на приобретённой приставке Mecool KM9PRO Max под Android TV было обнаружено вредоносное ПО. Специалисты нашли общедоступный каталог с бэкдорами, в котором хранилась папка с файлом PDF, автором которого значился директор по исследованиям и разработке Videostrong Оуэн Цао (Owen Cao). Это позволило атрибутировать инфраструктуру конкретному производителю. В операции по нейтрализации, помимо Google, участвовали Национальное полицейское агентство Японии, а также компании Lumen, Human Security, Plume, Synthient и TrendAI, которые совместно проанализировали вредоносную инфраструктуру и пресекли её работу. ### Ответ Google и последствия для производителя В ответ на выявленное нарушение Google разорвала отношения с Videostrong: компания отозвала у производителя лицензию на выпуск устройств под управлением Android TV с предустановленными приложениями и сервисами Google, а также запретила компании и её аффилированным структурам выпускать сертифицированные Android-устройства или поставлять программное обеспечение для сертифицированных производителей. По утверждению Google, Videostrong распространяла вредоносное ПО на протяжении нескольких лет, постоянно совершенствуя функциональность бэкдора, чтобы избегать обнаружения и удовлетворять запросы различных преступных группировок. ### Риск для российских пользователей Проблема затронула и российских пользователей: Google отметила Россию как страну, в которой присутствуют заражённые устройства. Устройства Videostrong реализуются в России на популярных торговых площадках — причём не только с доставкой из Китая, но и через местных продавцов. Это означает, что риск приобретения уже скомпрометированной приставки сохраняется, даже если ботнет официально нейтрализован, поскольку ранее выпущенные устройства могут продолжать функционировать в составе вредоносной инфраструктуры до полного отключения операторами. ## Проверка фактов и источники - [Google накрыла ботнет из миллионов ТВ-приставок — заражённые с завода устройства продаются и в России window-new](https://3dnews.ru/1150773/google-nakrila-botnet-iz-millionov-tvpristavok-zaragyonnie-s-zavoda-ustroystva-prodayutsya-i-v-rossii) - Первоисточник: объём ботнета (1,3+ млн), механизм внедрения в прошивку, модульная архитектура, MQTT, прокси-сервисы, рекламное мошенничество, ответ Google, участие Synthient и правоохранителей, упоминание России. - [Google накрыла ботнет из миллионов ТВ-приставок](https://www.kv.by/news/1072590-google-nakryla-botnet-iz-millionov-tv-pristavok) - Совпадает по ключевым фактам: 1,3 млн приставок, бэкдор, связь с Videostrong, отзыв лицензии, участие в операции. Расхождений с первоисточником не выявлено. ## Частые вопросы ### Что такое ботнет XCPE и сколько устройств в него входило? XCPE — ботнет из более чем 1,3 млн телеприставок под управлением Android. По данным Google, вредонос встраивался в прошивку устройств на этапе производства и позволял операторам удалённо управлять приставками. ### Как именно заражались устройства? Не через уязвимости в ПО, а через бэкдор, вшитый в прошивку на заводе. Основной компонент работал с системными привилегиями Android, а команды передавались через брокер сообщений MQTT. ### Что делалось с заражёнными приставками? Они использовались для работы в резидентных прокси-сетях, рекламного мошенничества (генерация показов и имитация кликов), а также для загрузки дополнительного вредоносного ПО, такого как Moyu, Spirit и Bird. ### Какие меры приняла Google в отношении Videostrong? Google отозвала у компании лицензию на выпуск Android TV-устройств с предустановленными сервисами Google и запретила ей и аффилированным структурам выпускать сертифицированные Android-устройства или поставлять ПО для сертифицированных производителей. ### Есть ли риск для российских пользователей? Да. Google указала Россию среди стран с присутствием заражённых устройств, а приставки Videostrong продаются на российских торговых площадках, в том числе через местных продавцов.