Google помогла отключить ботнет Android TV, в который были включены более 1,3 млн медиаприставок с предустановленным вредоносным ПО. Эти устройства без ведома владельцев превращались в узлы платных прокси-сетей и использовались для рекламного мошенничества; для IT-команд это очередное напоминание, что недорогой Android-девайс в переговорной или дома может быть не экраном, а чужой инфраструктурой.
Как сообщает Krebs on Security, операция была направлена против сети XCPE и связанной с ней китайской компании Videostrong Technology. По оценке Google Threat Intelligence Group, отключение управляющих доменов и серверов должно лишить операторов доступа не только к основной группе заражённых приставок, но и как минимум к 10 млн других скомпрометированных устройств, на которых распространялись те же прокси- и рекламные модули.
XCPE получила имя по одному из ключевых компонентов вредоносного кода. После первого запуска устройство незаметно загружало ПО, предоставлявшее его IP-адрес нескольким сервисам residential proxy. Клиенты таких сервисов арендуют домашние адреса для маскировки трафика, обхода географических ограничений или автоматизации запросов. На практике через подобные сети регулярно идут попытки захвата аккаунтов, скрейпинг данных, накрутка рекламы и другой трафик, который выглядит как активность обычного домашнего пользователя.
Google утверждает, что Videostrong не просто допустила заражение: производитель монетизировал скрытый доступ, передавая его криминальным партнёрам и устанавливая на устройства их модули. Компания также обратилась в суд, чтобы отключить домены и серверы, через которые управлялась сеть. В Google подчёркивают, что производители Android-устройств проходят проверки совместимости и безопасности, однако Videostrong обходила защиту, добавляя вредоносный компонент сразу после первого запуска. Эту лазейку, по данным компании, уже закрыли.
Проблема оказалась шире телевизионных боксов. Исследователи обнаружили XCPE и на других Android-устройствах интернета вещей: оборудовании для телемедицины, караоке-машинах и системах цифровых вывесок. Для корпоративной сети разница между приставкой, терминалом в клинике и экраном в офисе невелика: каждый такой гаджет получает доступ к локальной инфраструктуре, может передавать трафик через внешний прокси и стать точкой входа для следующей атаки.
Прокси как побочный бизнес дешёвого железа
В отчёте Google упомянуты сервисы, чьи SDK регулярно загружались на заражённые устройства: AppSalt, также известный как Honeygain, NetNut, EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb и GaGaNode. Сам факт присутствия компонентов не доказывает участие каждого сервиса в заражении конкретной модели: SDK мог распространяться через партнёров и посредников. Но он показывает экономику схемы: производитель или оператор бэкдора может продавать доступ к одному устройству нескольким покупателям, а владельцу приставки остаются расход трафика, ухудшение качества сети и риски блокировок.
У AppSalt/Honeygain есть отдельный корпоративный контекст: сервис принадлежит литовской Oxylabs, которая в октябре 2026 года сменила бренд на Source после сделки с инвестиционной компанией Warburg Pincus. Krebs on Security пишет, что Oxylabs не ответила на запрос о комментарии. NetNut уже попадала в поле зрения правоохранителей: в июле 2026 года ФБР вместе с партнёрами изъяла сотни доменов, связанных с компанией, в рамках операции против другого ботнета Popa, тоже использовавшего ТВ-приставки как прокси.
В разборе Synthient фигурирует и популярная приставка MECOOL, продаваемая под брендом китайской Skyworth Technology. Исследователи пришли к выводу, что в ней также были компоненты Videostrong и прокси-модули AppSalt/Honeygain. Основатель Synthient Бен Брандадж рассказал, что вредоносное ПО Videostrong распространяло и компонент сервиса Grass. Ранее похожие находки касались Superbox и других устройств, которые активно продвигают через ролики в TikTok и социальных сетях, обещая доступ к сотням платных телеканалов за разовый платёж.
С популярностью MECOOL связан ещё один неприятный урок для рынка: рост интереса к линейке ускорило упоминание на YouTube-канале Linus Tech Tips в 2023 году. По данным Synthient, канал позднее обновил видео, прямо назвав продукт мошенническим, и удалил партнёрские ссылки. Для производителей контента это показатель того, насколько быстро обзор потребительского устройства способен стать каналом распространения рискованного железа — даже без намерения автора рекламировать вредоносный продукт.
Что проверить IT-командам
Закрытие управляющей инфраструктуры не означает, что все заражённые устройства уже стали безопасными. Ботнет Android TV мог быть лишь одним из каналов доставки прокси-модулей, а сами партнёры Videostrong, по оценке Google, имеют и другие способы распространения. Брандадж называет число в 1,3 млн устройств консервативным и считает операцию крупнейшей из известных мер против ТВ-приставок с предустановленными бэкдорами.
Для компаний практический минимум — инвентаризировать Android-приставки, цифровые вывески и прочие IoT-устройства, особенно купленные через маркетплейсы или у малоизвестных продавцов. Их стоит вынести в отдельный сетевой сегмент, ограничить исходящие соединения, проверить DNS-логи и аномальное потребление трафика. Закупщикам полезно требовать прозрачную цепочку поставки, историю обновлений прошивки и подтверждение сертификации, а не ориентироваться на цену и обещания «всех каналов без подписки».
Главный открытый вопрос — насколько быстро рынок начнёт считать встроенный прокси-бэкдор не экзотикой, а полноценным риском цепочки поставки. Пока дешёвые приставки продаются как расходник, а безопасность проверяется уже после установки в сеть, следующая крупная прокси-сеть может вырасти не из уязвимости, а прямо на заводской линии. Дополнительные технические материалы и перечень затронутых моделей собраны в публикации .
