Компактные телевизионные приставки на базе Android стали инструментом масштабного киберпреступления после того, как один из официальных партнеров Google скрытно внедрил в аппаратное обеспечение скрытый бэкдор, затронувший более 1,3 миллиона устройств по всему миру.
В начале ноября 2026 года коалиция из технологических компаний и правоохранительных органов объявила о пресечении деятельности глобального ботнета XCPE. По данным расследования Google Threat Intelligence Group, вредоносный код был заложен на этапе заводского производства китайским изготовителем аппаратного обеспечения Videostrong Technology Co., базирующимся в Шэньчжэне.
Масштабы заражения и структура ботнета XCPE
Зараженные устройства распространялись более чем в 200 странах. Хотя подавляющее большинство пострадавших аппаратов представляют собой телевизионные ТВ-приставки, аналитики зафиксировали внедрение вредоносного ПО в другие категории оборудования под управлением Android, включая телемедицинские терминалы, аппараты для караоке и системы цифровой наружной рекламы.
Предприятие TrendAI, выступающее в качестве корпоративного подразделения Trend Micro, задокументировало 1 472 554 инфицированных аппарата, распределенных по 206 различным моделям в период с 3 июня по 1 октября. Телеметрия компании показала, что более 1,3 миллиона этих устройств использовались злоумышленниками для организации прокси-соединений и проведения рекламного мошенничества, а команды на тихую установку сторонних модулей затронули системы пользователей.
В период с 3 июня по 1 октября было зафиксировано более 3,8 миллиона уникальных резидентных IP-адресов выхода, а общее количество перехваченных управляющих сообщений не указано в источниках.
Помимо Google, в операции по ликвидации инфраструктуры ботнета приняли участие Японское национальное полицейское управление, а также компании Lumen, HUMAN Security, Plume и Synthient.
В июле 2026 года Японское национальное полицейское управление совместно с Министерством внутренних дел и коммуникаций, а также Национальным институтом информационных и коммуникационных технологий учредили специальный альянс по противодействию резидентным прокси.
Методы монетизации и обхода проверки подлинности
Вредоносный агент функционировал на уровне системных привилегий Android под именем пакета com.oemservice. Производитель использовал специальные методы обфускации для преодоления проверок в процессе сертификации устройств. Вредоносный код активировался только после первого включения аппарата пользователем, когда стандартная процедура тестирования со стороны платформы уже завершалась.
Получив контроль над приставками, организаторы схемы продавали доступ к ним криминальным структурам. Зараженные домашние интернет-подключения эксплуатировались в качестве резидентных прокси-узлов для перенаправления неавторизованного трафика, сбора конфиденциальных данных, создания обратных оболочек и показа навязчивой рекламы.
С высокой долей уверенности мы оцениваем, что бэкдор и ботнет были намеренно разработаны, развернуты и эксплуатировались Videostrong Technology в целях финансовой выгоды
Google Threat Intelligence Group, отчет безопасности
Помимо прочего, расследование выявило связь производителя с китайским законодательством: как зарегистрированная в Китае компания, организация подпадает под действие статьи 7 Национального закона о разведке 2017 года, обязывающего организации и граждан содействовать государственной разведывательной деятельности.
Ответные меры и разрыв партнерских отношений
Корпорация Google официально объявила о прекращении любых партнерских отношений с Videostrong Technology Co. Производитель и связанные с ним структуры полностью отстранены от создания и продажи сертифицированных устройств под управлением Android, а также от поставок программного обеспечения для других участников экосистемы.
Технические специалисты провели операцию по нейтрализации доменов управления и контроля (C2), через которые операторы отправляли команды ботам. По оценкам экспертов, это действие также пресекло связь злоумышленников по меньшей мере с 10 миллионами других скомпрометированных устройств, затронутых смежными кампаниями злоумышленников.
В ответ на инцидент компания пересмотрела внутренние регламенты тестирования оборудования и ужесточила проверки целостности прошивок для всех производителей сертифицированной электроники. Поскольку вредоносный компонент прописан в системном разделе /oem/, обычный сброс настроек не позволяет полностью удалить бэкдор на ряде старых моделей, что требует вмешательства на уровне вендора или замены оборудования.
Продолжение темы
