Виробник ТВ-приставок вбудував бекдор у 1,3 млн пристроїв: Google знешкодив ботнет XCPE
Google разом із партнерами наприкінці жовтня 2026 року знешкодив ботнет XCPE — мережу з понад 1,3 млн заражених Android-приставок для телевізорів. Шкідливе ПЗ потрапило на ці пристрої не через підозрілий застосунок чи зламаний сайт: за висновком Google Threat Intelligence Group, бекдор навмисно вбудував у прошивку сам виробник — компанія Videostrong Technology. Доступ до заражених приставок вона продавала кримінальним «партнерам», які перетворювали домашні пристрої на вузли проксі-мереж, накручували покази реклами та встановлювали додаткове шкідливе ПЗ.
Головне
Google і партнери знешкодили ботнет XCPE з понад 1,3 млн заражених Android-приставок для телевізорів.
Бекдор навмисно вбудував у прошивку виробник Videostrong, а доступ до пристроїв продавав злочинцям.
Заражені приставки непомітно пропускали чужий трафік через домашній інтернет власників і накручували покази реклами.
Скидання до заводських налаштувань не допомагає: заражений пристрій варто ізолювати від мережі або замінити.
Не помилка розробника, а бізнес-модель
Аналітики Google «з високим ступенем упевненості» стверджують, що Videostrong розробила, поширювала й експлуатувала бекдор заради прибутку. Videostrong, яку KrebsOnSecurity описує як китайського виробника ТВ-приставок, працює і як OEM, і як ODM: випускає техніку під власною маркою та розробляє пристрої, які інші компанії продають під своїми брендами. Тому шкідливий код знайшли в багатьох моделях різних марок, що виходили впродовж кількох років.
Окрема інфраструктура керування, постійно змінювані конфігурації для обходу виявлення та система роботи з «партнерами» переконали Google, що йдеться не про самодіяльність окремого інсайдера і не про недогляд розробників. Компанія розірвала стосунки з Videostrong.
Найтривожніше в цій історії — обхід сертифікації Android. Google вимагає від виробників проходити комплексні тести сумісності й безпеки, проте Videostrong застосувала обфускацію коду та завантажувала шкідливі компоненти вже після першого ввімкнення пристрою. Перевірку, по суті, проходила «чиста» прошивка. Google заявляє, що вже змінив процедуру перевірки, щоб закрити цю прогалину.
Реальний масштаб, імовірно, значно більший. «Партнери» Videostrong поширювали свої модулі й іншими каналами, тому, за оцінкою Google, відключення їхніх серверів керування відріже зловмисників ще щонайменше від 10 млн пристроїв. Бен Брандадж, засновник Synthient — однієї з компаній-учасниць операції, — у коментарі KrebsOnSecurity назвав цифру 1,3 млн «дуже консервативною».
Переважна більшість заражених пристроїв — Android-приставки для телевізорів, але бекдор виявили також у телемедичному обладнанні, караоке-системах і рекламних дисплеях. Заражені пристрої, за даними Plume, працювали приблизно у 200 країнах.
Читайте такожБотнет: що це таке, як працює і за якими ознаками зрозуміти, що компʼютер заражено
Як влаштований бекдор
Починаючи щонайпізніше з кінця 2024 року, Videostrong перебудувала шкідливе ПЗ з простого завантажувача на трирівневу модульну систему:
Основний бекдор. Пакет cpe (в окремих збірках — com.oemservice) розміщений у системному розділі прошивки й працює з правами системи. Звичайними засобами його не видалити: якщо користувач прибере пакет, після перезавантаження той сам встановиться знову. Головне завдання бекдора — підтримувати звʼязок із сервером керування.
Завантажувач. Пакет abc.nexus запускав модулі для заробітку та мав засоби протидії аналізу в «пісочницях». Цей окремий шар, імовірно, зʼявився у відповідь на попередні дії Google проти ботнету BadBox: так сам x.cpe виглядав менш підозріло.
Модулі «партнерів». Їх розробляли сторонні компанії та угруповання, а Videostrong завантажувала на свої пристрої за плату.
Керування відбувалося у два етапи: спершу приставка отримувала конфігурацію через HTTP-запит, а потім встановлювала постійне зʼєднання за протоколом MQTT — легким протоколом обміну повідомленнями, створеним для повільних і нестабільних мереж. Через цей канал оператори могли непомітно встановлювати застосунки, вимикати перевірку Google Play Захисту, виконувати довільні команди з правами системи, робити знімки екрана, віддалено «натискати» клавіші та сканувати мережу, до якої підключено пристрій.
Більшість команд стосувалася встановлення й налаштування модулів. Проте аналітики Google фіксували й значно небезпечніші дії операторів Videostrong: знімки екрана в реальному часі, введення натискань клавіш, викрадення даних облікових записів, відомостей про пристрій, переліку застосунків і системних журналів, а також відкриття зворотних оболонок (reverse shell), що дають повноцінний віддалений доступ до пристрою.
Шкідливе ПЗ продовжувало еволюціонувати. З серпня 2026 року через канал керування почали встановлювати нові завантажувачі, замасковані під системні застосунки Android, — наприклад, com.android.system.ntp. Вони отримували права root через службу налагодження ADB, копіювали себе в системний розділ, видавали собі дозволи на встановлення пакетів і перезавантаження та навіть підробляли дату встановлення, щоб не вирізнятися серед справжніх системних файлів.
На чому заробляли: чужий інтернет і фальшиві покази реклами
Основним джерелом доходу були резидентні проксі. Так називають сервіси, які пропускають чужий трафік через IP-адреси звичайних домашніх підключень. Для сайтів і антифрод-систем такий трафік виглядає як дії пересічного користувача, тому його охоче купують — зокрема, як зазначає KrebsOnSecurity, для захоплення облікових записів, рекламного шахрайства та масового збирання вмісту для навчання ШІ. Власник приставки при цьому не знає, що через його мережу проходить чужий трафік, і саме його IP-адреса фігуруватиме в журналах атакованих сайтів.
На заражених приставках працювали набори для розробників (SDK) щонайменше восьми проксі-сервісів: Linkfog, AppSalt (належить Honeygain, яка входить до литовської Oxylabs), NetNut, Traffmonetizer, EarnFM, GaGaNode, IPWeb і Jaguar. На одному пристрої могли одночасно працювати до трьох таких модулів — Videostrong намагалася вичавити максимум із кожної приставки. Показова деталь: модуль AppSalt фіксував «згоду» користувача програмно, не показуючи жодного екрана, і припиняв роботу, якщо застосунок було встановлено з Google Play, тобто свідомо уникав середовища з перевірками. Інфраструктуру NetNut Google вивів з ладу ще раніше — під час попередньої операції проти резидентних проксі-мереж.
Другим напрямом було рекламне шахрайство. Модуль HiddenView у фоні відкривав невидимі вебсторінки та імітував прокручування, кліки, введення тексту й відтворення відео. Модуль Fission, вбудований у відеозастосунки, реєстрував фіктивні покази реклами, яку ніхто не бачив. Ще кілька модулів — Spirit, Moyu і Bird — були самостійними бекдорами, що підвантажували нові шкідливі компоненти. Moyu і Bird раніше вже фігурували в операції BadBox, а Moyu, серед іншого, перехоплював вміст буфера обміну.
Читайте такожСмарт-телевізор як проксі-сервер: LG блокуватиме застосунки, що продають IP-адреси власників
Що зробив Google
Операцію Google провів разом із Національним поліцейським агентством Японії та компаніями Lumen, HUMAN Security, Plume, Synthient і TrendAI. Компанія вжила таких заходів:
через суд домоглася відключення доменів і серверів, з яких Videostrong керувала ботнетом і розсилала модулі;
так само відключила сервери керування понад десяти сімейств шкідливого ПЗ, які завантажувалися через бекдор;
заборонила Videostrong, а також її майбутнім дочірнім і повʼязаним компаніям випускати сертифіковані Android-пристрої та постачати ПЗ іншим сертифікованим виробникам;
посилила контроль цілісності прошивок сертифікованих пристроїв Android TV.
Навмисне зараження користувачів виробником Google назвав неприпустимим порушенням довіри та серйозним ризиком для власників пристроїв.
Які пристрої під загрозою
Google не оприлюднив перелік заражених моделей. Однак у коді бекдора є окрема перевірка, чи належить пристрій до лінійки MECOOL, — популярного бренду бюджетних Android-приставок. Дослідники Synthient виявили бекдор попередньо встановленим на приставці MECOOL KM9PRO Max, а також опублікували перелік з 182 назв моделей, повʼязаних із кампанією. Детальний розбір пристрою наведено у звіті Synthient.
Для України ця історія не абстрактна: приставки MECOOL продаються у вітчизняних інтернет-магазинах і на маркетплейсах. Тож власникам Android-приставок, особливо придбаних на AliExpress чи у випадкових продавців, варто перевірити свої пристрої.
Що робити власникам Android-приставок
Звірити модель зі списком. Бренд і модель зазвичай вказано на корпусі, коробці або в меню «Налаштування» → «Про пристрій». Їх варто порівняти з переліком Synthient.
Не розраховувати на скидання налаштувань. Бекдор є частиною прошивки й повертається після перезавантаження, тож скидання до заводських налаштувань його не прибере. Для більшості моделей чистої прошивки немає, тому Synthient радить припинити користуватися зараженими пристроями.
Ізолювати приставку. Якщо замінити її одразу неможливо, пристрій варто відʼєднати від домашньої мережі або принаймні перенести в окрему гостьову мережу Wi-Fi, ізольовану від компʼютерів і смартфонів. Ризик для сусідніх пристроїв реальний: на початку 2026 року ботнет Kimwolf використовував заражені проксі-модулями ТВ-приставки, щоб атакувати інші пристрої в локальній мережі.
Змінити паролі. Паролі від облікових записів, у які входили на підозрілій приставці (Google, стримінгові сервіси), варто змінити з іншого, надійного пристрою та ввімкнути двофакторну автентифікацію.
Купувати сертифіковані пристрої відомих брендів. Актуальний перелік партнерів Android TV опубліковано на сайті Android. Історія з Videostrong показала, що сертифікація не дає абсолютної гарантії, проте лишається найкращим доступним фільтром.
Уникати застосунків, що платять за трафік. Google радить остерігатися програм, які пропонують гроші за «невикористаний трафік» чи «спільний доступ до інтернету»: саме так розростаються нелегальні проксі-мережі. Також варто встановлювати застосунки лише з перевірених магазинів і переконатися, що Google Play Захист увімкнено.
Ринок, який швидко відновлюється
Google визнає, що операція не знищить сам ринок. Оператори бекдорів, рекламні шахраї та постачальники резидентних проксі утворюють взаємоповʼязаний ланцюг: щойно одна ланка зникає, інші переходять на нові завантажувачі або SDK конкурентів. Тому компанія закликає дистрибʼюторів і маркетплейси вимагати від ODM-виробників незалежного аудиту безпеки та знімати з продажу продукцію компаній, причетних до подібних схем. Проксі-провайдери, які заявляють про «етичне» залучення пристроїв, за позицією Google, мають підтверджувати згоду користувачів прозорими доказами, що піддаються перевірці. Наразі ж непомітне «підключення» без згоди власника лишається найпоширенішим способом перетворити чужий пристрій на проксі-вузол.
Ця стаття Виробник ТВ-приставок вбудував бекдор у 1,3 млн пристроїв: Google знешкодив ботнет XCPE раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня
