Google 2 ноября раскрыла результаты операции против XCPE — ботнета из более чем 1,3 млн телевизионных приставок на Android. Операцию провели на прошлой неделе вместе с полицией Японии и компаниями по кибербезопасности.
Ботнетом называют сеть устройств, которыми злоумышленники удалённо управляют без ведома владельцев. В случае XCPE вредоносный код встраивали в прошивки до продажи приставок. Пользователю не требовалось устанавливать подозрительное приложение или открывать вредоносную ссылку.
Google с высокой уверенностью связывает создание и эксплуатацию ботнета с китайским производителем Videostrong Technology. По оценке компании, бэкдор внедрили намеренно ради заработка: доступ к заражённым устройствам продавали преступным партнёрам, которые загружали на них свои модули.
Читайте также
Эти программы создавали мошеннические показы рекламы, устанавливали другое вредоносное ПО, извлекали данные и подключали домашний интернет владельцев к прокси-сетям. В результате чужой трафик проходил через IP-адрес обычного пользователя без его согласия.
TrendAI с июня по октябрь 2026 года насчитала 1 472 554 заражённых устройства 206 моделей более чем в 170 странах. Совместная оценка участников операции составляет более 1,3 млн приставок. Основную часть сети составляли телевизионные приставки, но вредоносный код также нашли в проекторах, караоке-системах и устройствах для телемедицины.
Бэкдор работал с системными правами, позволял незаметно устанавливать приложения и выполнять команды. После удаления он мог восстановиться из раздела прошивки при перезагрузке, поэтому обычное удаление приложения не очищало устройство.
Google, полиция Японии и компании по кибербезопасности отключили домены и серверы, через которые управляли ботнетом и распространяли дополнительные модули. Google оценивает, что блокировка связанной инфраструктуры лишит преступников доступа ещё к 10 млн заражённых устройств. Сам вредоносный код при этом остаётся на уже проданных приставках.
Google прекратила отношения с Videostrong. Производителю, его будущим подразделениям и связанным структурам запретили выпускать и продавать сертифицированные Android-устройства, предустанавливать приложения Google и поставлять ПО другим сертифицированным производителям. Компания также изменила проверку целостности прошивок Android TV.
TrendAI рекомендует избегать безымянных и несертифицированных Android-приставок.