--- title: "Google ліквідувала ботнет XCPE з 1,3 млн телеприставок: шкідник вшивався у прошивку на заводі" description: "Google та партнери ліквідували ботнет XCPE з понад 1,3 млн Android-телеприставок, у які виробник Videostrong, за версією компанії, вшивав бекдор на заводі." date: 2026-11-04T03:02:00.248Z lang: uk url: https://xab.info/uk/posts/google-likviduvala-botnet-xcpe-tv-pristavok tags: [google, botnet, android-tv, cybersecurity, videostrong, tv-boxes] author: "Олександр Буран" publisher: "XAB.info" --- # Google ліквідувала ботнет XCPE з 1,3 млн телеприставок: шкідник вшивався у прошивку на заводі ![людина тримає в руці пульт дистанційного керування на фоні екрана телевізора](https://xab.info/media/2026/11/04/google-likvidirovala-botnet-xcpe-tv-pristavok/google-likvidirovala-botnet-xcpe-tv-pristavok-1.webp) ## Ключові тези - Google за підтримки партнерів нейтралізувала ботнет XCPE з понад 1,3 млн Android-телеприставок - Шкідник впроваджувався у прошивку на етапі виробництва, а не через вразливості ПЗ - Google з високою вірогідністю пов'язує ботнет з китайським виробником Videostrong Technology - Google відкликала у Videostrong ліцензію на випуск Android TV-пристроїв і заборонила сертифікувати Android-продукцію - Заражені пристрої застосовувалися для проксі-мереж, рекламного шахрайства та завантаження додаткового шкідливого ПЗ Google спільно з низкою партнерів з кібербезпеки та правоохоронними органами нейтралізувала ботнет під назвою XCPE, до якого входило понад 1,3 млн телеприставок під управлінням Android. За оцінкою пошукового гіганта, пристрої заражалися не через вразливості в програмному забезпеченні, а на етапі виробництва: виробник навмисно вбудовував у прошивку прихований канал віддаленого доступу — бекдор — і згодом продавав можливість керування скомпрометованими пристроями зловмисникам. З високим ступенем вірогідності Google пов'язує інфраструктуру ботнета з китайським виробником електроніки Videostrong Technology, якого компанія звинувачує в багаторічному поширенні шкідливого коду в пристроях різних брендів і моделей. ### Бекдор у прошивці та модульна архітектура Ключова особливість XCPE — його впровадження безпосередньо у прошивку пристроїв ще на заводі, що виключало класичний сценарій зараження через експлойт вразливості. Основний компонент бекдора працював із системними привілеями Android, що давало операторам повний контроль над пристроєм. Архітектура шкідника була модульною: функції бекдора були відокремлені від модулів, призначених для отримання доходу в інтересах сторонніх партнерів. Після увімкнення зараженої приставки компонент XCPE зв'язувався з командним сервером, отримував дані для підключення та облікові дані для брокера повідомлень MQTT, через який оператори дистанційно керували пристроями та запускали шкідливі дії. Щоб уникати виявлення, зловмисники постійно змінювали структуру програми: наприкінці 2024 року Videostrong, за даними Google, перейшла на окремий завантажувач для запуску модулів, а у серпні відокремила цю функцію у більш компактні спеціалізовані дроппери, що маскувалися під системні додатки Android. ### На що йшли заражені пристрої Скомпрометовані приставки використовувалися для кількох типів кіберзлочинної діяльності. Частина модулів була пов'язана з сервісами резидентних проксі — Linkfog, AppSalt/Honeygain, GaGaNode, NetNut і Traffmonetizer, — які перенаправляли інтернет-трафік третіх осіб через заражені пристрої без відома та згоди їх власників. Інші модулі застосовувалися у схемах рекламного шахрайства: генерувалися покази, завантажувалися приховані веб-сторінки, імітувалися кліки по оголошеннях. Через бекдор також завантажувалися додаткові шкідники — Moyu, Spirit і Bird — для доставки та запуску «дорожчих» навантажень. Таким чином, бекдор фактично виступав платформою, на якій сторонні злочинні угруповання розміщували власні модулі. ### Як ботнет пов'язали з Videostrong Зв'язок між бекдором XCPE та компанією Videostrong встановила компанія Synthient. За її даними, наприкінці 2025 року на придбаній приставці Mecool KM9PRO Max під Android TV було виявлено шкідливе ПЗ. Фахівці знайшли загальнодоступний каталог з бекдорами, в якому зберігалася папка з файлом PDF, автором якого значився директор з досліджень і розробки Videostrong Оуен Цао (Owen Cao). Це дозволило атрибутувати інфраструктуру конкретному виробнику. В операції з нейтралізації, крім Google, брали участь Національне поліцейське агентство Японії, а також компанії Lumen, Human Security, Plume, Synthient і TrendAI, які спільно проаналізували шкідливу інфраструктуру та припинили її роботу. ### Відповідь Google та наслідки для виробника У відповідь на виявлене порушення Google розірвала стосунки з Videostrong: компанія відкликала у виробника ліцензію на випуск пристроїв під управлінням Android TV з передвстановленими додатками та сервісами Google, а також заборонила компанії та її афілійованим структурам випускати сертифіковані Android-пристрої або постачати програмне забезпечення для сертифікованих виробників. За твердженням Google, Videostrong поширювала шкідливе ПЗ протягом кількох років, постійно вдосконалюючи функціональність бекдора, щоб уникати виявлення та задовольняти запити різних злочинних угруповань. ### Ризик для користувачів Проблема зачепила користувачів у різних країнах: Google зазначила низку регіонів, у яких присутні заражені пристрої. Пристрої Videostrong реалізуються на популярних торгових майданчиках — причому як із доставкою з Китаю, так і через місцевих продавців. Це означає, що ризик придбання вже скомпрометованої приставки зберігається, навіть якщо ботнет офіційно нейтралізований, оскільки раніше випущені пристрої можуть продовжувати функціонувати у складі шкідливої інфраструктури до повного відключення операторами. ## Перевірка фактів і джерела - [Google накрыла ботнет из миллионов ТВ-приставок — заражённые с завода устройства продаются и в России window-new](https://3dnews.ru/1150773/google-nakrila-botnet-iz-millionov-tvpristavok-zaragyonnie-s-zavoda-ustroystva-prodayutsya-i-v-rossii) - Першоджерело: обсяг ботнета (1,3+ млн), механізм впровадження у прошивку, модульна архітектура, MQTT, проксі-сервіси, рекламне шахрайство, відповідь Google, участь Synthient і правоохоронців. - [Google накрыла ботнет из миллионов ТВ-приставок](https://www.kv.by/news/1072590-google-nakryla-botnet-iz-millionov-tv-pristavok) - Збігається за ключовими фактами: 1,3 млн приставок, бекдор, зв'язок з Videostrong, відкликання ліцензії, участь в операції. Розбіжностей із першоджерелом не виявлено. ## Часті запитання ### Що таке ботнет XCPE і скільки пристроїв до нього входило? XCPE — ботнет з понад 1,3 млн телеприставок під управлінням Android. За даними Google, шкідник вбудовувався у прошивку пристроїв на етапі виробництва і дозволяв операторам віддалено керувати приставками. ### Як саме заражалися пристрої? Не через вразливості в ПЗ, а через бекдор, вшитий у прошивку на заводі. Основний компонент працював із системними привілеями Android, а команди передавалися через брокер повідомлень MQTT. ### Що робилося із зараженими приставками? Вони використовувалися для роботи в резидентних проксі-мережах, рекламного шахрайства (генерація показок та імітація кліків), а також для завантаження додаткового шкідливого ПЗ, такого як Moyu, Spirit і Bird. ### Які заходи вжила Google щодо Videostrong? Google відкликала у компанії ліцензію на випуск Android TV-пристроїв з передвстановленими сервісами Google і заборонила їй та афілійованим структурам випускати сертифіковані Android-пристрої або постачати ПЗ для сертифікованих виробників.