Google отключила партнёра после обнаружения вредоносного ПО в 1,3 млн Android TV-приставок
AI Изображение создано с помощью ИИ и носит иллюстративный характер
Google разорвала合作关系 с китайским производителем Videostrong Technology после того, как в более чем 1,3 миллиона Android TV-приставок этой компании обнаружили бэкдор XCPE. В отчёте, опубликованном 2 ноября, группа Google Threat Intelligence заявила, что уверена в намеренной установке XCPE компанией Videostrong для получения прибыли. Вместе с несколькими фирмами по безопасности Google вывела из строя ботнет на прошлой неделе. Об этом пишет издание BGR.
Videostrong зарабатывала, продавая доступ к заражённым приставкам. По данным Google, покупателями были криминальные группы, которым Videostrong загружала вредоносное ПО. Многие из этих программ были предназначены для мошенничества с рекламой или для работы в качестве резидентных прокси-сетей. На некоторых приставках операторы Videostrong делали скриншоты и собирали данные учётных записей.
Videostrong была сертифицированным партнёром Android, и Google требует от таких производителей проходить тесты на совместимость и безопасность перед выпуском устройств с приложениями Google. Однако Videostrong скрывала свой код, загружая его только после первой загрузки. Теперь Google запретила Videostrong создавать сертифицированные Android-устройства и поставлять программное обеспечение другим производителям.
XCPE был предустановлен в прошивке заражённых приставок и работал с системными привилегиями. Фирма Synthient, сотрудничавшая с Google, купила приставку Mecool KM9PRO Max в конце 2025 года и обнаружила бэкдор под именем "com.oemservice". При каждом запуске XCPE отправлял на серверы Videostrong серийный номер и MAC-адрес, ожидая команд. Операторы могли устанавливать приложения без ведома владельца или выполнять команды оболочки.
Synthient оценивает, что около полумиллиона из 1,3 миллиона приставок ежедневно связываются с серверами Videostrong. Большинство из них находятся в Малайзии, Мексике и Бразилии, но заражённые устройства есть и в США. Google также нашла XCPE в телемедицинских устройствах, караоке-машинах и цифровых вывесках. В рамках операции Google через суд закрыла домены и серверы Videostrong, а также серверы более чем дюжины семейств вредоносных программ, которые распространялись через XCPE. Это уже второй подобный случай в 2026 году: в январе Google нарушила работу сети IPIDEA.
Проверить приставку на XCPE непросто. С августа 2026 года некоторые устройства получают новые версии вредоносного ПО, замаскированные под системные приложения, например "com.android.system.ntp". Synthient опубликовала список из более чем 180 моделей устройств, связанных с кампанией, включая KM9PRO. Также рекомендуется проверить, не используется ли ваш IP-адрес в качестве резидентного прокси.
Google советует включить Play Protect. На приставках с Android 11 или новее настройка находится в Google Play Store в меню Play Protect > Settings. На Android 10 и ниже — в Settings > Apps > Security & restrictions, где она называется "Verify apps". Однако Play Protect может не помочь, так как XCPE умеет отключать проверку приложений.
Удаление XCPE не решит проблему: бэкдор переустанавливается из прошивки при перезагрузке. Synthient рекомендует отключить устройства от сети, сменить пароли Wi-Fi и обновить прошивку роутера. Ранее в этом году ФБР предупреждало, что стриминговые устройства могут шпионить за пользователями. Google также обновила процесс проверки, чтобы другие производители не могли протащить вредоносное ПО, как это сделала Videostrong.
