Google накрыла ботнет из миллионов ТВ-приставок — заражённые с завода устройства продаются и в России

Google при поддержке партнёров ликвидировала ботнет XCPE, в который входили более 1,3 млн телеприставок под управлением Android. Их производитель, по версии Google, намеренно внедрял в устройства вредоносное ПО с целью получения дохода от киберпреступной деятельности.

Источник изображения: Glenn Carstens-Peters / unsplash.com

Поисковый гигант с высокой степенью вероятности связывает ботнет XCPE с китайским производителем электроники Videostrong Technology. Компания обвиняет его в преднамеренной установке бэкдора, то есть скрытого канала доступа, в выпускаемые устройства и последующей продаже доступа к ним злоумышленникам. Скомпрометированные устройства использовались для рекламного мошенничества, служили в качестве узлов прокси-сетей, на них также устанавливалось дополнительное вредоносное ПО.

Устройства компрометировались с помощью других вредоносов, не связанных напрямую с XCPE — в их число входят телеприставки, системы караоке и оборудование для телемедицины. Не все эти устройства работают под управлением Android. Google разорвала отношения с Videostrong, отозвала у компании лицензию на производство устройств под управлением Android TV с предустановленными приложениями и сервисами Google, а также запретила компании и её аффилированным структурам выпускать сертифицированные Android-устройства или поставлять ПО для сертифицированных производителей.

В операции по нейтрализации ботнета, помимо Google, участвовали Национальное полицейское агентство Японии, а также специализирующиеся на кибербезопасности компании Lumen, Human Security, Plume, Synthient и TrendAI — совместными усилиями они проанализировали вредоносную инфраструктуру и пресекли её работу.

Ботнет XCPE проникал на устройства не через уязвимости в ПО, а внедрялся в прошивку устройств ещё на этапе производства. На протяжении нескольких лет, утверждает Google, компания Videostrong распространяла это вредоносное ПО, внедряя его в устройства различных брендов и моделей. Функциональность вредоносного кода постоянно совершенствовалась, чтобы избежать обнаружения и удовлетворять запросы различных преступных группировок. Основной компонент бэкдора работает с системными привилегиями Android.

Отметим, что проблема затронула и российских пользователей — Google отметила Россию как страну, в которой присутствуют заражённые устройства. Заметим, что устройства Videostrong продаются в России на популярных торговых площадках, причём не только с доставкой из Китая — их реализуют и местные продавцы.

Вредонос имеет модульную архитектуру — функции бэкдора отделены от модулей, предназначенных для получения дохода в интересах партнёров. После запуска заражённого устройства компонент XCPE связывался с командным сервером, чтобы получить данные для подключения и учётные данные для брокера сообщений MQTT, который использовался для получения команд. Через это соединение операторы удалённо управляли скомпрометированными устройствами и выполняли вредоносные действия, в том числе:

• в скрытном режиме загружали и устанавливали дополнительные Android-приложения;
• отключали системы Google Play Protect;
• выполняли shell-команды и скрипты с системными привилегиями;
• делали снимки экрана и перехватывали нажатия клавиш;
• собирали информацию об учётных записях, сведения об устройстве, списки установленных приложений и системные журналы;
• проводили разведку сети и создавали обратные соединения.

Устройства использовались для извлечения прибыли путём установки вредоносных модулей, принадлежащих другим операторам. Бэкдор выполнял роль платформы для киберпреступной деятельности сторонних злоумышленников. Некоторые из этих модулей были связаны с сервисами резидентных прокси Linkfog, AppSalt/Honeygain, GaGaNode, NetNut и Traffmonetizer — они использовались для перенаправления интернет-трафика третьих лиц через заражённые устройства баз ведома и согласия их владельцев.

Другие модули использовались в мошеннических схемах с рекламой — они генерировали показы, загружали скрытые веб-страницы и имитировали клики по рекламным объявлениям. Загружались и дополнительные бэкдоры, такие как Moyu, Spirit и Bird, для загрузки и запуска дорогих вредоносов.

Чтобы избежать обнаружения, операторы ботнета постоянно меняли архитектуру вредоносной программы. В конце 2024 года Videostrong стала использовать отдельный загрузчик для запуска вредоносных модулей, а XCPE отвечал за взаимодействие с управляющей инфраструктурой. В августе загрузчик заменили более компактными специализированными дропперами, которые маскировались под системные приложения Android.

Synthient рассказала, как ей удалось связать бэкдор XCPE и его инфраструктуру с компанией Videostrong — это случилось, когда на приобретённой в конце 2025 году приставке Mecool KM9PRO Max под Android TV обнаружилось вредоносное ПО. Специалисты компании обнаружили общедоступный каталог с бэкдорами; там же хранилась папка с файлом PDF, автором которого значился директор по исследованиям и разработке Videostrong Оуэн Цао (Owen Cao). Домен производителя оказался привязан к тому же IP-адресу, что и сервер управления бэкдором. Для цифровой подписи различных бэкдоров использовались принадлежащие Videostrong адреса электронной почты. Всё это, говорят в Google, указывает на намеренный характер действий производителя.

В Google изменили процесс сертификации устройств после того, как выяснилось, что Videostrong применяла методы обфускации, чтобы обходить проверки безопасности и загружать вредоносный код после первого же включения устройства. Google сумела нарушить работу XCPE, но вредонос с заражённых устройств не удалился — при попытке его уничтожить он автоматически восстанавливается из раздела /oem/. Для полного устранения угрозы пользователям требуется либо установить не заражённую прошивку, либо отключить скомпрометированное устройство от интернета, чтобы предотвратить вредоносную активность.

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.