Google обвинила производителя ТВ-приставок в заражении 1,3 млн устройств

Google раскрыла результаты операции против ботнета XCPE, объединявшего более 1,3 млн телевизионных приставок. По оценке компании, китайский производитель Videostrong намеренно встраивал бэкдор в прошивки и продавал преступным партнёрам доступ к устройствам.

Через приставки пропускали чужой интернет-трафик, накручивали рекламные показы и устанавливали дополнительные вредоносные программы. Операторы также снимали изображения с экрана и выгружали информацию об аккаунтах. Владельцу для заражения не требовалось открывать подозрительную ссылку: скрытый доступ поставлялся вместе с устройством.

Приставка показывала фильмы и одновременно работала на преступников

По данным Plume, заражённое устройство могло исправно воспроизводить видео, одновременно передавая посторонний трафик и собирая данные. Пользователь не получал запроса на согласие, уведомления о подключении к ботнету или возможности отказаться.

Дополнительные модули приносили операторам доход несколькими способами:

• направляли трафик клиентов прокси-сервисов через домашнее подключение владельца;
• подключали приставку к сервисам продажи пропускной способности без согласия пользователя;
• создавали фиктивные рекламные показы;
• загружали другие бэкдоры и программы для заработка.

В модуле AppSalt/Honeygain исследователи Google обнаружили установку флага согласия без показа пользователю соответствующего окна. Код также проверял источник установки и прекращал работу, если приложение было установлено из Google Play.

Операторы снимали экран и выполняли команды на устройстве

Google наблюдала захват изображений с экрана, имитацию нажатий клавиш и выгрузку сведений об аккаунтах, установленных приложениях и системных журналов. Исследователи также зафиксировали выполнение команд с созданием удалённой командной оболочки — подключения, через которое оператор управляет устройством.

Исследованный Synthient экземпляр MECOOL KM9PRO Max передавал серверу информацию о приставке и email пользователя, если тот вошёл в аккаунт. Эти сведения отправлялись в служебном сообщении при подключении к системе управления.

TrendAI также зафиксировала сбор информации о Wi-Fi и настройках Bluetooth. Если приставка находилась в корпоративной сети, исследователи рассматривали её как потенциальную точку доступа к внутренней инфраструктуре.

Домашний IP помогал чужому трафику проходить проверки

Резидентный прокси пропускает запросы клиента через подключение обычного абонента. Для принимающего сайта такой запрос приходит с домашнего IP-адреса. Арендатор может выбирать адреса в нужной стране и регионе, чтобы проходить географические и репутационные проверки.

По данным TrendAI, блокировки диапазонов дата-центров такой трафик не отсекали. С 3 июня по 1 октября 2026 года исследователи наблюдали в среднем 182 025 доступных домашних IP-адресов в день. Максимум составил 366 562 адреса.

За весь период TrendAI насчитала 3 849 226 разных адресов выхода. Это адреса подключений, которые могли меняться со временем. Число заражённых устройств в телеметрии компании составило 1 472 554: они относились к 206 моделям из более чем 170 стран.

Совместная оценка участников операции — свыше 1,3 млн устройств. Разница объясняется временем наблюдений и доступной каждой команде телеметрией. На одном устройстве могли одновременно работать несколько модулей.

Бэкдор получал команды из интернета и менял набор программ

Основной компонент x.cpe, в некоторых сборках называвшийся com.oemservice, поддерживал связь с управляющей инфраструктурой. Отдельный загрузчик com.abc.nexus запускал дополнительные модули. Такая архитектура позволяла удалённо менять набор программ.

Команды передавались через MQTT — протокол обмена сообщениями. После подключения приставка могла получать задания на установку приложений, изменение настроек и выполнение команд. В некоторых версиях загрузчика использовалась защита от анализа, мешавшая приостанавливать потоки и исследовать процесс.

Бэкдор работал с системными привилегиями. Его копия находилась в прошивке: после удаления установленного пакета он восстанавливался при перезагрузке. Программа также могла отключать проверку приложений Google Play Protect.

Google заблокировала серверы, но имплант остался в прошивках

В операции участвовали полиция Японии и компании по кибербезопасности. Google добилась блокировки управляющих доменов и серверов, прекратила отношения с Videostrong и запретила компании и её будущим аффилированным структурам выпускать сертифицированные Android-устройства или поставлять ПО другим сертифицированным производителям.

Под блокировку попала и инфраструктура дополнительных вредоносных модулей. По оценке Google, это перекроет преступникам доступ ещё как минимум к 10 млн скомпрометированных устройств, заражённых через другие каналы распространения.

TrendAI объясняет сложность очистки тем, что имплант работает как системное приложение, подписанное ключом производителя. Для удаления нужны действия поставщика, защитные механизмы платформы или замена устройства. Synthient рекомендует отключать выявленные заражённые устройства и выводить их из эксплуатации.

Расследование началось с подозрительных соединений

За несколько месяцев до публикации отчёта Plume обнаружила в сетевой телеметрии подозрительный домен. К нему регулярно обращались устройства из разных стран. Анализ соединений вывел исследователей на скрытый компонент прошивки Android-приставок.

Synthient исследовала MECOOL KM9PRO Max, приобретённую в конце 2025 года. Связь инфраструктуры с Videostrong специалисты установили по нескольким признакам: общему IP-адресу, адресам электронной почты в подписях бэкдоров и документу за подписью директора производителя по исследованиям и разработке, найденному на сервере с вредоносными файлами.

Google проследила развитие архитектуры как минимум с конца 2024 года. С августа 2026 года операторы начали заменять общий загрузчик небольшими программами, замаскированными под системные приложения Android. По оценке Google, производитель скрывал вредоносную функциональность от проверок и загружал дополнительный код после первого включения. После расследования компания изменила процедуру проверки устройств.