Google спільно з низкою партнерів з кібербезпеки та правоохоронними органами нейтралізувала ботнет під назвою XCPE, до якого входило понад 1,3 млн телеприставок під управлінням Android. За оцінкою пошукового гіганта, пристрої заражалися не через вразливості в програмному забезпеченні, а на етапі виробництва: виробник навмисно вбудовував у прошивку прихований канал віддаленого доступу — бекдор — і згодом продавав можливість керування скомпрометованими пристроями зловмисникам. З високим ступенем вірогідності Google пов'язує інфраструктуру ботнета з китайським виробником електроніки Videostrong Technology, якого компанія звинувачує в багаторічному поширенні шкідливого коду в пристроях різних брендів і моделей.
Бекдор у прошивці та модульна архітектура
Ключова особливість XCPE — його впровадження безпосередньо у прошивку пристроїв ще на заводі, що виключало класичний сценарій зараження через експлойт вразливості. Основний компонент бекдора працював із системними привілеями Android, що давало операторам повний контроль над пристроєм. Архітектура шкідника була модульною: функції бекдора були відокремлені від модулів, призначених для отримання доходу в інтересах сторонніх партнерів. Після увімкнення зараженої приставки компонент XCPE зв'язувався з командним сервером, отримував дані для підключення та облікові дані для брокера повідомлень MQTT, через який оператори дистанційно керували пристроями та запускали шкідливі дії. Щоб уникати виявлення, зловмисники постійно змінювали структуру програми: наприкінці 2024 року Videostrong, за даними Google, перейшла на окремий завантажувач для запуску модулів, а у серпні відокремила цю функцію у більш компактні спеціалізовані дроппери, що маскувалися під системні додатки Android.
На що йшли заражені пристрої
Скомпрометовані приставки використовувалися для кількох типів кіберзлочинної діяльності. Частина модулів була пов'язана з сервісами резидентних проксі — Linkfog, AppSalt/Honeygain, GaGaNode, NetNut і Traffmonetizer, — які перенаправляли інтернет-трафік третіх осіб через заражені пристрої без відома та згоди їх власників. Інші модулі застосовувалися у схемах рекламного шахрайства: генерувалися покази, завантажувалися приховані веб-сторінки, імітувалися кліки по оголошеннях. Через бекдор також завантажувалися додаткові шкідники — Moyu, Spirit і Bird — для доставки та запуску «дорожчих» навантажень. Таким чином, бекдор фактично виступав платформою, на якій сторонні злочинні угруповання розміщували власні модулі.
Як ботнет пов'язали з Videostrong
Зв'язок між бекдором XCPE та компанією Videostrong встановила компанія Synthient. За її даними, наприкінці 2025 року на придбаній приставці Mecool KM9PRO Max під Android TV було виявлено шкідливе ПЗ. Фахівці знайшли загальнодоступний каталог з бекдорами, в якому зберігалася папка з файлом PDF, автором якого значився директор з досліджень і розробки Videostrong Оуен Цао (Owen Cao). Це дозволило атрибутувати інфраструктуру конкретному виробнику. В операції з нейтралізації, крім Google, брали участь Національне поліцейське агентство Японії, а також компанії Lumen, Human Security, Plume, Synthient і TrendAI, які спільно проаналізували шкідливу інфраструктуру та припинили її роботу.
Відповідь Google та наслідки для виробника
У відповідь на виявлене порушення Google розірвала стосунки з Videostrong: компанія відкликала у виробника ліцензію на випуск пристроїв під управлінням Android TV з передвстановленими додатками та сервісами Google, а також заборонила компанії та її афілійованим структурам випускати сертифіковані Android-пристрої або постачати програмне забезпечення для сертифікованих виробників. За твердженням Google, Videostrong поширювала шкідливе ПЗ протягом кількох років, постійно вдосконалюючи функціональність бекдора, щоб уникати виявлення та задовольняти запити різних злочинних угруповань.
Ризик для користувачів
Проблема зачепила користувачів у різних країнах: Google зазначила низку регіонів, у яких присутні заражені пристрої. Пристрої Videostrong реалізуються на популярних торгових майданчиках — причому як із доставкою з Китаю, так і через місцевих продавців. Це означає, що ризик придбання вже скомпрометованої приставки зберігається, навіть якщо ботнет офіційно нейтралізований, оскільки раніше випущені пристрої можуть продовжувати функціонувати у складі шкідливої інфраструктури до повного відключення операторами.
