Google нарушил работу ботнета XCPE, который был предустановлен более чем на 1,3 млн Android TV-приставок. По оценке компании, китайский производитель Videostrong Technology Co. встраивал постоянный бэкдор в прошивки устройств и зарабатывал на доступе к ним для партнёров из криминальной индустрии. Для рынка это неприятное напоминание: «дешёвая приставка с Android» может оказаться не гаджетом, а чужим узлом сети прямо за домашним или корпоративным роутером.
Операцию Google провела вместе с Национальным полицейским агентством Японии и компаниями Lumen, HUMAN Security, Plume, Synthient и TrendAI, сообщает BleepingComputer. Компания отключила управляющие серверы, которыми пользовались более десяти связанных семейств вредоносных программ. Это отрезало от операторов не только заражённые ТВ-боксы, но и как минимум 10 млн других скомпрометированных устройств: среди них были розничные приставки, караоке-оборудование и системы для телемедицины. Не все эти устройства работают на Android.
Одновременно Google прекратила отношения с Videostrong: производитель лишился лицензии на выпуск Android TV-устройств с предустановленными сервисами Google. Компании и её будущим аффилированным структурам также запретили выпускать сертифицированные Android-устройства и поставлять ПО сертифицированным вендорам. Это уже не обычная блокировка одного приложения в магазине, а санкция против участника цепочки поставок.
Бэкдор приехал вместе с прошивкой
Обычно ботнет собирают через уязвимость, фишинг или вредоносный APK. В истории с XCPE заражение происходило раньше: вредоносный компонент находился в заводской прошивке. Основные элементы Google отслеживает под именами x.cpe и com.oemservice; они запускались с системными привилегиями Android. Пользователь мог распаковать приставку, подключить её к телевизору и сети — а устройство уже было готово получать команды извне.
После запуска заражённая техника обращалась к инфраструктуре в домене anyevonline[.]com, получала параметры доступа к MQTT-брокеру и через него принимала команды. MQTT часто используют в легитимных IoT-сценариях, поскольку он удобен для обмена короткими сообщениями. Здесь тот же механизм позволял операторам массово управлять устройствами. Брокер размещался на mqtt.szbboys[.]com.
Системные права открывали широкий набор возможностей: тихая установка приложений, отключение Google Play Protect, запуск shell-команд и скриптов, снятие скриншотов, имитация ввода с клавиатуры и сбор сведений об аккаунтах, приложениях и самом устройстве. Операторы также могли исследовать сеть жертвы и поднимать обратные оболочки. Для одной медиаприставки это избыточный набор функций; для криминальной платформы — вполне рабочий продуктовый бэклог.
Архитектура была модульной. Сам бэкдор отвечал за связь и доставку, а подключаемые компоненты выполняли коммерческие задачи партнёров. Часть модулей превращала устройства в резидентские прокси: через них третьи лица могли пропускать свой интернет-трафик, не получая согласия владельца приставки. Google связывает такие компоненты с Linkfog, AppSalt/Honeygain, GaGaNode, NetNut и Traffmonetizer. Другие модули накручивали рекламные показы, открывали скрытые страницы и кликали по рекламе. Ещё одни загружали дополнительные бэкдоры — Moyu, Spirit и Bird.
Почему Google считает виноватым именно производителя
Google заявляет, что с высокой уверенностью связывает ботнет XCPE с Videostrong и считает его намеренно разработанным и развёрнутым ради прибыли. Важная деталь: речь идёт не о единичной ошибке в конкретной модели и не о компрометации сборочного сервера. По данным Google, вредоносный код годами появлялся в разных моделях и брендах, а конфигурации и инфраструктура регулярно менялись, чтобы обходить обнаружение и обслуживать партнёрскую сеть.
Отдельное расследование Synthient началось с MECOOL KM9PRO Max, купленной в конце 2025 года. Исследователи нашли открытый каталог на сервере file.anyevonline[.]com с используемыми операторами бэкдорами. Среди его содержимого оказался PDF, связанный с Оуэном Цао, директором по исследованиям и разработке Videostrong. Кроме того, домен videostrong[.]cn указывал на тот же IP-адрес, что и управляющий узел mqtt.anyevonline[.]com, а многие корпоративные адреса Videostrong использовались для подписи вредоносных компонентов. Совокупность этих признаков, по версии Google, исключает объяснение про самодеятельность одного сотрудника.
Операторы меняли и способ доставки модулей. В конце 2024 года они начали выносить эту функцию в отдельный загрузчик com.abc.nexus, оставляя XCPE связь с управляющей инфраструктурой. С августа 2026 года загрузчик стали заменять небольшими специализированными дропперами, замаскированными под системные приложения Android. Google признала, что Videostrong применяла обфускацию, чтобы проходить сертификационные проверки и подгружать вредоносный код уже после первого запуска устройства. В ответ компания изменила процесс сертификационного ревью.
Для разработчиков встроенных устройств и закупщиков здесь есть вполне прикладной вывод. Сертификация Android и знакомый интерфейс Google TV не отменяют проверку происхождения прошивки, поставщика обновлений и сетевого поведения устройства после ввода в эксплуатацию. В корпоративной среде ТВ-приставки, переговорные панели и медиаплееры нередко получают доступ к той же сети, что и рабочие станции. Их стоит выделять в отдельный сегмент сети, ограничивать исходящие соединения и учитывать в инвентаризации, а не относить к безобидной бытовой электронике.
Отключение серверов не означает лечение уже проданных устройств. Вредоносный код остаётся в разделе /oem и способен восстановиться после удаления. Владельцам затронутой техники для полного устранения заражения потребуется чистая прошивка; если её происхождение и доступность вызывают сомнения, безопаснее отключить устройство от интернета и заменить его. Главный вопрос теперь не в том, сколько команд успели потерять операторы, а в том, смогут ли производители и платформы сделать проверку заводского ПО столь же строгой, как проверку приложений. Подробности расследования доступны у .
