Google при поддержке партнёров уничтожила ботнет XCPE, охвативший более 1,3 млн Android-телеприставок. По данным компании, их производитель намеренно встраивал вредоносный код в устройства, чтобы зарабатывать на киберпреступной деятельности.

Google с высокой вероятностью связывает XCPE с китайским производителем электроники Videostrong Technology. По версии компании, производитель устанавливал в свои устройства скрытый канал удалённого доступа — бэкдор — и продавал возможность управления ими злоумышленникам. Заражённые приставки применялись для рекламного мошенничества, работы в составе прокси-сетей и распространения дополнительного вредоносного ПО.

Компрометация происходила и через другие вредоносные программы, не связанные напрямую с XCPE. Под угрозой оказались не только телеприставки, но и караоке-системы и оборудование для телемедицины, причём не все они работали на Android. В ответ Google прекратила сотрудничество с Videostrong, отозвала лицензию на выпуск Android TV-устройств с предустановленными приложениями и сервисами Google, а также запретила компании и связанным с ней структурам сертифицировать Android-устройства или поставлять ПО другим производителям.

В операции также участвовали Национальное полицейское агентство Японии и компании в области кибербезопасности — Lumen, Human Security, Plume, Synthient и TrendAI. Вместе они исследовали инфраструктуру ботнета и остановили её функционирование.

По утверждению Google, XCPE не использовал уязвимости программного обеспечения: вредоносный код встраивался в прошивку ещё на производстве. В течение нескольких лет Videostrong, как утверждается, распространяла заражённые устройства разных брендов и моделей, постоянно дорабатывая вредонос, чтобы обходить обнаружение и адаптировать его под задачи различных преступных группировок. Основной компонент бэкдора обладал системными привилегиями Android.

Проблема коснулась и России: Google включила страну в список территорий с заражёнными устройствами. Приставки Videostrong доступны на российских маркетплейсах — их продают как поставщики из Китая, так и местные продавцы.

Вредонос построен по модульному принципу: бэкдор отделён от компонентов, приносящих доход партнёрам. После включения устройства XCPE обращался к командному серверу, получал данные для подключения и учётные данные брокера сообщений MQTT, через который поступали команды. Это позволяло операторам удалённо управлять заражёнными устройствами, в том числе:

• скрытно загружать и устанавливать Android-приложения;

• отключать Google Play Protect;

• запускать shell-команды и скрипты с системными привилегиями;

• делать скриншоты и перехватывать нажатия клавиш;

• собирать данные об учётных записях, устройстве, установленных приложениях и системных журналах;

• изучать локальную сеть и создавать обратные подключения.

Заражённые приставки становились платформой для сторонних киберпреступников, которые устанавливали собственные модули. Часть из них была связана с резидентными прокси-сервисами Linkfog, AppSalt/Honeygain, GaGaNode, NetNut и Traffmonetizer: через устройства без ведома владельцев перенаправлялся интернет-трафик третьих лиц.

Другие модули занимались рекламным мошенничеством — создавали показы, открывали скрытые веб-страницы и имитировали клики по объявлениям. Дополнительно загружались бэкдоры Moyu, Spirit и Bird, предназначенные для доставки и запуска более дорогостоящих вредоносных программ.

Чтобы оставаться незамеченным, ботнет регулярно менял архитектуру. В конце 2024 года Videostrong, по данным Google, начала использовать отдельный загрузчик для запуска модулей, а XCPE отвечал за связь с управляющей инфраструктурой. В августе его сменили более компактные дропперы, маскировавшиеся под системные приложения Android.

Synthient рассказала, как связала бэкдор и его инфраструктуру с Videostrong. В конце 2025 года в приобретённой приставке Mecool KM9PRO Max на Android TV обнаружили вредоносное ПО. Исследователи нашли общедоступный каталог с бэкдорами, где хранился PDF-файл, автором которого был указан директор по исследованиям и разработке Videostrong Оуэн Цао. Домен производителя указывал на тот же IP-адрес, что и сервер управления бэкдором, а для подписи вредоносных файлов использовались корпоративные адреса электронной почты Videostrong. По мнению Google, это свидетельствует о преднамеренных действиях производителя.

После того как выяснилось, что Videostrong применяла обфускацию для обхода проверок безопасности и загружала вредоносный код сразу после первого включения устройства, Google изменила процесс сертификации. Хотя работа XCPE нарушена, сам вредонос с устройств не исчезает: при попытке удаления он восстанавливается из раздела /oem/. Чтобы полностью устранить угрозу, пользователям необходимо установить чистую прошивку либо отключить заражённое устройство от интернета.