Google вместе с партнёрами нарушила работу ботнета XCPE, который объединил более 1,3 млн Android-приставок и других IoT-устройств. Компания с высокой степенью уверенности связывает операцию с китайским производителем Android-устройств Videostrong Technology: по данным Dark Reading, вредоносный бэкдор якобы встраивали в устройства ещё на этапе производства. Для бизнеса это неприятное напоминание: телевизор в переговорной или недорогой медиаплеер могут оказаться не просто «периферией», а готовой точкой присутствия злоумышленников в сети.
XCPE отличался от привычных ботнетов, которые заражают технику через уязвимости или слабые пароли. По версии Google Threat Intelligence Group, в нескольких моделях и брендах устройств с Android с 2024 года намеренно размещали бэкдор. После первого запуска он позволял операторам управлять устройством и загружать дополнительные модули. Такой подход снимает с преступников самую трудоёмкую часть работы: не нужно массово искать открытые интерфейсы и подбирать эксплойты, если доступ заложен до продажи устройства.
Google утверждает, что Videostrong монетизировала этот доступ, продавая его криминальным партнёрам. Загружаемые ими модули использовались для рекламного мошенничества, подключения устройств к резидентским прокси-сетям и установки нового вредоносного ПО. То есть заражённая приставка превращалась не только в источник трафика, но и в инфраструктурный узел, с которого можно маскировать другие атаки под обычную домашнюю активность.
В операции участвовали Национальное полицейское агентство Японии, Lumen, HUMAN Security, Plume, Synthient и TrendAI. Они предприняли юридические действия против Videostrong и добились нарушения работы доменов и серверов, использовавшихся для управления ботнетом, доставки модулей партнёров и их командных серверов. По оценке Google, отключение этой инфраструктуры может лишить операторов доступа как минимум ещё к 10 млн скомпрометированных устройств, поскольку партнёрские модули распространялись не только через XCPE.
Google также прекратила отношения с Videostrong и запретила ей, её будущим дочерним компаниям и аффилированным структурам выпускать сертифицированные Android-устройства или поставлять ПО другим сертифицированным производителям. Производитель не ответил на запрос журналистов. Это важная деталь: инцидент выглядит не как сбой в одной модели и не как компрометация цепочки поставок неизвестным третьим лицом, а как предполагаемое злоупотребление ролью самого OEM-поставщика.
Основную массу ботнета XCPE составляли Android TV-приставки, но в сети обнаружились и менее очевидные цели: оборудование для телемедицины, караоке-системы и цифровые вывески. Операторы могли устанавливать, удалять и настраивать модули, делать снимки экрана, эмулировать нажатия клавиш, собирать сведения об аккаунтах, пакетах и системных журналах, запускать команды и скрипты, в том числе для создания обратной оболочки. Google не заявляла, что эти возможности уже использовались для проникновения в корпоративные сети, но сам набор функций оставляет для этого вполне рабочую дверь.
Для команд безопасности главная проблема здесь — происхождение трафика. Резидентский прокси выходит в интернет с легитимного потребительского IP-адреса, поэтому блокировки по географии, автономной системе или репутации адреса теряют значительную часть смысла. Такие сети удобно применять для credential stuffing, злоупотребления API и антифрод-обходов: запросы выглядят так, будто их отправляет обычный пользователь, а не сервер из известного дата-центра.
Марку Мазуру, техническому директору Approov, ситуация видится именно в этом разрезе: миллионы домашних устройств дают атакующим инфраструктуру для атак на ценные API. Для разработчиков это аргумент не полагаться на IP-фильтры как на самостоятельную защиту. Нужны поведенческие сигналы, ограничения скорости, контроль аномалий на уровне учётной записи и сценария, а также защита от автоматизированных попыток входа. Никакой телевизор в чужой гостиной не обязан выглядеть подозрительно по IP-адресу.
Отдельная проблема — проверка производителей. Google требует от OEM прохождения тестов совместимости и безопасности, однако, по её данным, Videostrong скрывала вредоносный код: он загружался после первого запуска устройства и обходил первоначальные проверки. Компания заявила, что усилила процедуры проверки прошивок Android TV. Владельцам устройств она советует устанавливать приложения из доверенных магазинов, внимательно смотреть на разрешения VPN- и прокси-приложений и не соглашаться на сомнительные предложения заработать на «неиспользуемом интернете».
Для российских компаний вывод приземлённый: инвентаризация IoT должна включать не только камеры и маршрутизаторы, но и ТВ-панели, приставки, цифровые табло и специализированные Android-устройства. Их стоит отделять от рабочих сегментов сети, контролировать исходящие соединения и заранее понимать, кто выпускает прошивки и как они обновляются. Ботнет XCPE показывает, что следующий большой риск для IoT — не только очередная уязвимость, а доверие к производителю, которое может оказаться встроенным бэкдором.
