Ботнет Android TV, включавший более 1,3 млн устройств в свыше чем 200 странах, нарушен в ходе операции японской полиции и группы ИБ-компаний. По версии Google, китайский производитель Videostrong Technology поставлял ТВ-приставки и проекторы с уже встроенным бэкдором XCPE — для рынка это очередное напоминание, что дешёвое устройство в домашней сети может оказаться не клиентом, а инфраструктурой злоумышленников.
Операция прошла при участии Национального полицейского агентства Японии, Google, Lumen, Human Security, Plume, Synthient и TrendAI, сообщает The Register. Участники отключили домены управления XCPE и связанные с ними модули партнёров. Google Threat Intelligence Group заявила, что с высокой уверенностью связывает разработку, развёртывание и эксплуатацию бэкдора с Videostrong Technology из Шэньчжэня.
Videostrong выпускает Android-устройства, в том числе домашние ТВ-боксы и проекторы. По данным Google, компания не просто допустила уязвимость в прошивке: бэкдор якобы был встроен преднамеренно, а доступ к заражённым устройствам продавался криминальным партнёрам. После подключения приставки к домашней сети операторы могли использовать интернет-канал владельца как часть прокси-сети и маскировать через него вредоносный трафик.
То есть пользователь покупал коробку для стриминговых сервисов, а получал ещё и незаявленного соседа в роутере. Этот сосед не обязательно ломал телевизор или требовал выкуп: куда ценнее была возможность проводить через чужой IP-адрес чужие операции, затрудняя расследование и обходя часть антифрод-проверок.
Бэкдор под видом штатного управления
Как установили специалисты TrendAI, предустановленный агент управления выглядел как обычный компонент удалённого администрирования. Он загружал обновления со страницы GitHub и связывался с сервером по протоколу MQTT. Такой канал давал операторам практически полный контроль над приставкой: устанавливать и удалять приложения, менять настройки и доставлять новые обновления.
С 3 июня по 1 октября исследователи TrendAI зафиксировали более 3,8 млн уникальных домашних и мобильных IP-адресов, связанных с этой инфраструктурой. Цифра заметно больше 1,3 млн устройств, поскольку один гаджет мог появляться в сети с разными адресами, а часть адресов могла относиться к другим компонентам операции. Но масштаб показывает, почему подобные прошивки нельзя списывать на локальную историю нескольких неудачных партий техники.
Отдельно коалиция вывела из строя управляющие домены, которыми пользовались партнёрские модули. По оценке Google, это должно отрезать от операторов как минимум ещё 10 млн скомпрометированных устройств. Речь не обязательно идёт только о приставках Videostrong: у аффилиатов были собственные каналы распространения вредоносных модулей помимо XCPE.
Google уже прекратила отношения с Videostrong и запретила OEM-производителю выпускать устройства с предустановленными приложениями Google. На запрос журналистов Videostrong оперативно не ответила. Публичной позиции производителя и технического описания того, как компания намерена помочь владельцам уже проданных устройств, на момент публикации не было.
Почему это важно не только владельцам телевизоров
История XCPE продолжает линию BadBox 2.0 — известного ботнета, который до нарушения его работы в марте 2025 года заразил более 10 млн ТВ-боксов и других устройств. Тогда в операции также участвовали Human Security, Google и TrendAI. Общая проблема здесь не в Android TV как платформе, а в непрозрачной цепочке поставок недорогой электроники: прошивка, загрузчик, сервер обновлений и сторонний агент управления часто остаются за пределами внимания покупателя, ритейлера и даже корпоративного ИБ-отдела.
Для компаний риск вполне прикладной. Домашние устройства сотрудников могут находиться в той же сети, что и рабочие ноутбуки, NAS или тестовые стенды. Приставка с удалённым управлением не означает автоматически компрометацию корпоративных систем, но добавляет в периметр неизвестный узел с возможностью принимать команды извне. Особенно неприятен такой сценарий для небольших команд, где домашняя сеть фаундера, разработчика или администратора иногда незаметно становится продолжением рабочего контура.
Практический вывод скучный, но полезный: неизвестные Android-приставки, проекторы и другие IoT-устройства стоит держать в гостевой или отдельной VLAN, не давать им доступ к рабочим ресурсам и регулярно проверять, получает ли производитель обновления и публикует ли их происхождение. Для закупщиков важны не только характеристики процессора и цена, но и модель обновлений, наличие сертифицированных сервисов и понятная ответственность вендора за прошивку.
Ботнет Android TV в этой истории ценен для преступников не вычислительной мощностью, а миллионами доверенных домашних подключений. После отключения части инфраструктуры главный вопрос остаётся открытым: смогут ли владельцы уже проданных устройств получить чистую прошивку, или значительная часть приставок продолжит жить в сетях как долговременный технический долг, о котором никто не знает до следующего инцидента.
