Google отключила ботнет из 1,3 млн приставок, заражённых при сборке

Google вместе с партнёрами отключила управляющую инфраструктуру ботнета XCPE, но программа осталась в прошивках устройств. Компания связывает его создание с производителем приставок Videostrong Technology.

В сеть XCPE попали более 1,3 млн устройств, преимущественно приставок на Android TV. По оценке Google, Videostrong намеренно встраивала программу для скрытого доступа в прошивки разных моделей и марок на протяжении нескольких лет. Компания продавала доступ к устройствам другим участникам схемы, которые загружали на приставки собственные вредоносные модули. Google подчёркивает: собранные ею свидетельства указывают на действия производителя, а не на ошибку разработки или инициативу отдельного сотрудника.

Google предприняла юридические действия, чтобы отключить домены и серверы, через которые управляли XCPE и доставляли дополнительные модули. Она также нарушила работу управляющих доменов более десятка семейств вредоносных программ, распространявшихся через эту сеть. По оценке компании, в результате их операторы лишатся доступа ещё как минимум к 10 млн заражённых устройств. Эта цифра относится к другим путям заражения и не прибавляется к числу приставок с XCPE.

Google прекратила сотрудничество с Videostrong и запретила ей, её будущим дочерним структурам и аффилированным компаниям выпускать сертифицированные устройства Android или поставлять программное обеспечение другим сертифицированным производителям. Videostrong также лишилась возможности выпускать устройства Android TV с предустановленными приложениями и сервисами Google. В операции участвовали Национальное полицейское агентство Японии и компании Lumen, HUMAN Security, Plume, Synthient и TrendAI.

Как ботнет XCPE управлял приставками

XCPE попадал на устройства ещё при производстве, вместе с прошивкой. Его основной компонент, встречающийся под именами x.cpe и com.oemservice, работает с системными правами Android. После включения приставки он получает настройки для связи с управляющим сервером и поддерживает соединение, по которому операторы передают команды. Так операторы могли менять поведение вредоносной программы уже после продажи устройства.

Операторы могли без ведома владельца устанавливать приложения, запускать команды с системными правами и отключать проверку приложений Google Play Protect. Исследователи Google также наблюдали за получением снимков экрана, имитацией нажатий клавиш, сбором сведений об учётных записях и системных журналах. Через приставки изучали домашнюю сеть и запускали дополнительные программы. По данным Google, чаще всего команды касались установки, удаления и настройки модулей.

Часть модулей превращала устройства в узлы прокси-сетей: через домашнее подключение владельца проходил чужой интернет-трафик без его согласия. Другие загружали скрытые страницы, имитировали просмотры и нажатия на рекламу либо устанавливали новые программы для удалённого доступа. На одной приставке могли одновременно работать несколько модулей со сходными функциями. Videostrong получала доход, предоставляя партнёрам доступ к заражённым устройствам.

Архитектура программы менялась. В конце 2024 года операторы выделили запуск дополнительных модулей в отдельный компонент com.abc.nexus, оставив XCPE связь с управляющей инфраструктурой. С августа 2026 года они начали заменять этот компонент небольшими установщиками, замаскированными под системные приложения Android. Некоторые из них, по данным Google, получали расширенные права и записывали себя в системный раздел.

Что означает отключение ботнета для владельцев устройств

Отключение серверов нарушает управление ботнетом, но не очищает заражённые приставки. Компонент XCPE восстановится из раздела /oem/ после перезагрузки, если удалить его установленную копию. Для устранения заражения нужна чистая прошивка. В сообщении о расследовании также указано, что вредоносную активность на затронутом устройстве можно прекратить, отключив его от интернета.

По числу устройств с XCPE нельзя судить о том, что все дополнительно затронутые 10 млн устройств тоже работают на Android. Google относит их к другим вредоносным программам, распространявшимся не только через XCPE. В самом ботнете преобладали ТВ-приставки, но компания находила заражение также на оборудовании для телемедицины, караоке-устройствах и цифровых вывесках.

Google изменила проверку производителей и усилила контроль целостности прошивок сертифицированных устройств Android TV. По объяснению компании, Videostrong использовала маскировку, которая позволяла пройти прежние тесты и загрузить вредоносный код после первого включения.