Google ликвидировала ботнет из 1,3 млн ТВ-приставок, заражённых прямо на заводе

Google вместе с партнёрами ликвидировала XCPE, ботнет из более чем 1,3 млн Android-приставок для телевизоров, и отлучила от своей платформы китайскую компанию, которая, по версии Google, его и создала. Вредоносная программа попала в приставки не через плохое приложение и не через взлом: её прошили в заводскую прошивку. Группа анализа угроз Google (GTIG) «с высокой уверенностью» заявляет, что бэкдор был «намеренно разработан, развёрнут и использовался ради заработка» компанией Videostrong Technology, производителем, который собирает приставки для многих брендов. Отчёт опубликован 2 ноября.

Бэкдор с завода

Главные компоненты, x.cpe и com.oemservice, работают с системными правами Android. Через них операторы могли незаметно ставить приложения, отключать Google Play Защиту, выполнять команды, делать скриншоты, имитировать нажатия клавиш и собирать данные об аккаунтах и устройстве. Если вредонос удалить, после перезагрузки он восстанавливается из раздела /oem/, поэтому сброс до заводских настроек не помогает. По словам Google, код встраивали во «множество разных моделей и брендов на протяжении нескольких лет», и это осознанный бизнес, а не «действия одиночки-инсайдера или ошибка разработки».

Компания Synthient, одна из участниц операции, в конце 2025 года купила приставку MECOOL KM9PRO Max и нашла в ней уже установленный вредонос, пишет BleepingComputer. На открытом сервере ботнета она обнаружила документы директора Videostrong по исследованиям и разработке, а бэкдоры были подписаны корпоративными почтовыми адресами компании. Большинство заражённых устройств - ТВ-приставки, но Google нашла бэкдор и в медицинских устройствах для телемедицины, караоке-системах и рекламных экранах. Ботнет раскинут по всему миру, разбивку по странам Google не публиковала.

Как приставки зарабатывали на чужих

По данным Google, Videostrong продавала доступ к бэкдору преступным «партнёрам» и загружала их модули на приставки. Одни модули превращали устройства в выходные узлы сетей резидентных прокси: чужой трафик шёл через домашнее подключение и IP-адрес владельца. Среди прокси-сервисов Google называет Linkfog, AppSalt/Honeygain, GaGaNode, NetNut, Traffmonetizer и другие. Один из SDK, пишет Google, сам ставил галочку согласия «без какого-либо интерфейса». Другие модули накручивали рекламу, загружая скрытые страницы и регистрируя фальшивые показы, а некоторые ставили новые бэкдоры, которые Google ранее связывала с операцией BadBox.

Владельцу это грозит не только тормозами. Его IP-адрес светится в трафике, которого он не отправлял, и это грозит капчами, блокировками аккаунтов и подозрениями в том, к чему он не имеет отношения.

Что сделала Google

Вместе с Национальным полицейским агентством Японии и компаниями Lumen, HUMAN Security, Plume, Synthient и TrendAI Google через суд добилась отключения доменов и серверов, с которых управлялся XCPE. Под удар попали и командные серверы более десятка семейств вредоносов, которые загружались через бэкдор, а это отрезает ещё как минимум 10 млн заражённых устройств. Google разорвала отношения с Videostrong и запретила ей и любым её будущим аффилированным компаниям выпускать сертифицированные Android-устройства или поставлять софт сертифицированным производителям. Компания признаёт, что Videostrong с помощью обфускации обходила тесты сертификации и подгружала вредоносный код после первого запуска, и говорит, что изменила процедуру проверки.

Как защититься

• Покупайте приставки только брендов из списка сертифицированных партнёров Android TV. Больше всего рискуют владельцы дешёвых безымянных приставок с маркетплейсов. Как показывает этот случай, сертификация не даёт полной гарантии, но это всё равно лучший доступный фильтр.
• Если у вас MECOOL KM9PRO Max или другая подозрительная приставка, сброс не поможет: вредонос возвращается из системного раздела. Отключите её от интернета сейчас и планируйте замену на сертифицированную модель: приставку, которую нельзя вычистить, опасно использовать дальше.
• Держите Google Play Защиту включённой и ставьте приложения только из магазинов, которым доверяете.
• Обходите стороной приложения, которые платят за «неиспользуемый трафик» или «раздачу интернета». Именно так резидентные прокси вербуют устройства.
• Посмотрите в роутере список подключённых устройств и статистику трафика. Если приставка много передаёт, пока телевизор выключен, это тревожный признак. В нашем гайде разобрано, как проверить, не работает ли ТВ-приставка на кого-то другого.

Такой случай не первый. Летом мы писали о 120 тысячах Android-приставок, которые сдавали домашний интернет владельцев в аренду, и о ликвидации прокси-ботнета NetNut. XCPE крупнее, и на этот раз Google указывает на самого производителя.