Google зупинила ботнет XCPE на 1,3 млн Android TV-боксів і забанила виробника
Google разом із партнерами розвалили ботнет XCPE, що вражав понад 1,3 млн Android TV-приставок, та розірвали співпрацю з виробником Videostrong, якого компанія звинувачує в умисній інфекції пристроїв.
Google спільно з правоохоронцями та індустріальними партнерами ліквідувала інфраструктуру ботнету XCPE, який складався більш ніж із 1,3 млн Android TV-приставок. Компанія також припинила співпрацю з китайським виробником Videostrong і заборонила йому випускати сертифіковані Android-пристрої.
Що саме сталося
За даними Google, Videostrong умисно вбудовував у прошивку своїх пристроїв стійкий бекдор, продаючи доступ до нього кримінальним афіліатам. Через ці інфіковані приставки оператори розгортали модулі для шахрайства з рекламою, перетворювали пристрої на «домашні проксі» та встановлювали інше шкідливе ПЗ.
Паралельно Google відключила командно-керівні (C2) сервери, які обслуговували понад десяток пов’язаних сімейств шкідників, чим перекрила доступ щонайменше до 10 млн додатково скомпрометованих пристроїв. Серед них — роздрібні сет-топ-бокси, караоке-системи та телемедичне обладнання; не всі вони на Android.
Як працював XCPE
На відміну від типових ботнетів, XCPE інтегрували безпосередньо у прошивку під час виробництва. Основні компоненти бекдору відстежуються як x.cpe та com.oemservice і працюють із системними привілеями Android. Архітектура модульна: окремо — бекдор, окремо — модулі для заробітку афіліатів.
Після запуску інфікований пристрій звертався до домену anyevonline[.]com за даними підключення до брокера MQTT на mqtt.szbboys[.]com, через який отримував команди. Оператори могли віддалено:
- тихо завантажувати й інсталювати застосунки та вимикати Google Play Protect;
- виконувати shell-команди з системними правами, робити скриншоти та емулювати натискання клавіш;
- збирати дані акаунтів, інформацію про пристрій і встановлені застосунки, журнали системи;
- проводити розвідку в мережі та відкривати зворотні shell-сесії.
Для монетизації встановлювалися модулі, пов’язані з «домашніми проксі»-сервісами (Linkfog, AppSalt/Honeygain, GaGaNode, NetNut, Traffmonetizer), а також компоненти для клік-фроду та завантаження інших бекдорів (Moyu, Spirit, Bird). За словами Google, злочинці постійно змінювали архітектуру для уникнення виявлення: наприкінці 2024 року з’явився окремий завантажувач com.abc.nexus, а з серпня 2026 року його замінювали дрібніші дропери під виглядом системних застосунків.
Наслідки для виробника і партнери операції
Google розірвала відносини з Videostrong, відкликала ліцензію на виробництво Android TV-пристроїв із попередньо встановленими сервісами Google і заборонила компанії та її майбутнім афіліатам випускати сертифіковані Android-пристрої чи постачати софт сертифікованим вендорам. За оцінкою Google Threat Intelligence Group, бекдор і ботнет були навмисно створені та керувалися Videostrong з фінансовою метою.
До операції долучилися Національне агентство поліції Японії та компанії Lumen, HUMAN Security, Plume, Synthient і TrendAI — вони спільно аналізували шкідливу інфраструктуру та координували її знешкодження.
