Google с партнёрами обезвредила ботнет XCPE: бэкдор в ТВ-приставках заразил больше 1,3 млн устройств, и, по оценке Google, его намеренно встроил сам производитель Videostrong. Удаление приложения его не берёт, поэтому каждая такая коробка в офисной сети остаётся чужим прокси, пока её не перепрошьют или не заменят.

Почему ТВ-приставка в офисе уже не «просто телевизор»?

Дешёвая Android-приставка может нести системный бэкдор, который поставил сам производитель, и тогда ваш интернет-канал работает на посторонних людей. 3 ноября 2026 года Security Affairs рассказала, как Google вместе с партнёрами обезвредила ботнет XCPE. В нём числилось больше 1,3 млн ТВ-приставок.

Интереснее масштаба то, кто стоит за схемой. Google с высокой уверенностью называет организатором Videostrong Technology Co., компанию, которая работает и как OEM, и как ODM для Android-устройств. По формулировке Google, бэкдор и ботнет «намеренно разработали, развернули и эксплуатировали ради финансовой выгоды».

Версию с ошибкой программиста или сотрудником-одиночкой Google отбрасывает. Код находили во множестве моделей и брендов на протяжении нескольких лет, под него держали отдельную инфраструктуру и регулярно меняли конфигурации.

ODM-поставщик делает плату и прошивку, а продают их разные бренды под своими логотипами. Поэтому название на коробке почти ничего не говорит о том, чья прошивка внутри.

Большинство заражённых устройств оказались приставками Android TV. Тот же бэкдор Google нашла в телемедицинских устройствах, караоке-системах и цифровых вывесках. Такие коробки стоят в переговорках, приёмных, клиниках и торговых залах, часто в гостевом Wi-Fi, а иногда в общей сети с рабочими ноутбуками. Антивируса на них нет, EDR не поставить, в инвентаризации ИТ их обычно тоже нет.

Как бэкдор в ТВ-приставках сидит в прошивке и почему удаление не помогает

Бэкдор вшит в прошивку, работает с системными привилегиями и при следующей перезагрузке восстанавливается из раздела /oem. Удалить его как обычное приложение не выйдет. Google описывает три ступени:

• Первая: предустановленный компонент x.cpe (в части сборок он называется com.oemservice) с системными привилегиями. Он держит связь с сервером управления.
• Вторая: загрузчик com.abc.nexus со своими приёмами защиты от анализа. Он разворачивает модули заработка.
• Третья: модули партнёров, которые и приносят деньги.

Админ находит подозрительный пакет, удаляет его, перезагружает приставку, и пакет возвращается. Сброс к заводским настройкам чистит пользовательские данные, но не затрагивает системные и OEM-разделы, так что рассчитывать на него не стоит. Надёжных путей два: прошивка с проверенного образа или замена железа.

Управление устроено в два шага. Сначала приставка делает HTTP-запрос и забирает настройки, данные о местоположении и сведения о сети. Затем устанавливает постоянное соединение по MQTT и ждёт команд. Все образцы, которые разобрала Google, подключались к одному и тому же MQTT-серверу.

MQTT работает по схеме «издатель, брокер, подписчик»: устройство само открывает исходящее соединение к брокеру и получает команды через подписки. Офисный или домашний NAT ему не мешает, проброс портов не нужен. Зато заблокировать брокер и его домены значит оборвать связь сразу со всем парком.

По команде через брокер приставки скачивали новые модули, shell-скрипты и даже легитимные приложения. Большую часть файлов операторы держали в релизах GitHub на собственных страницах, остальное на Filemail и двух своих серверах. Инфраструктурой управляли удалённо, в том числе через веб-консоль EMQX, и заходили туда с адресов вне сети заражённых устройств.

На чём зарабатывала схема: прокси, фрод и чужие модули

Деньги приносили чужие модули: по данным Google, Videostrong продавала доступ к приставкам преступным «партнёрам» и сама загружала их код на устройства. Модуль попадал на устройство одним из трёх способов: предустановленной программой, пакетом внутри загрузчика или приложением, скачанным позже.

Сценариев тоже три: рекламный фрод, тихое подключение канала владельца к сетям резидентных прокси и установка дополнительных бэкдоров. Google перечисляет прокси-наборы Linkfog, AppSalt, GaGaNode, BWM, Traffmonetizer, EarnFM и NetNut, а также модули рекламного фрода Fission и HiddenView. На одном устройстве крутилось сразу несколько схем, в том числе до трёх прокси-наборов одновременно.

Резидентные прокси сами по себе не преступление, у таких сервисов есть законные клиенты. Проблема в согласии. Чужой трафик выходит в интернет с IP-адреса вашего офиса, и если через него перебирают пароли или скупают билеты ботами, блокировки и жалобы достаются вам.

Показательная деталь про SDK AppSalt, который принадлежит Honeygain. Он вызывает функцию opt-in без всякого экрана согласия и перестаёт работать, если приложение установлено из официального Google Play. Логика понятна: там, где больше шансов на проверку, SDK просто молчит.

Фрод-модули работали незаметно. Fission в фоне генерирует фальшивые показы рекламы, HiddenView вдобавок открывает скрытые окна браузера и имитирует клики и прокрутку.

Ресурсы делили аккуратно. По MQTT каждому модулю приходили лимиты, ссылки на сборки под конкретный тип процессора и веса приоритета. Устройства раскладывали по шести пулам по часовым поясам, а приставки отчитывались о расходе трафика и отправляли предупреждения (алерты), поэтому модули держались в заданных лимитах.

Возможности самого бэкдора шире заработка. Через MQTT-канал операторы могли:

• тихо ставить приложения, выполнять команды и скрипты, открывать удалённую командную строку;
• делать скриншоты, записывать нажатия клавиш, собирать сведения об учётных записях, устройстве, списке приложений и системные журналы;
• сканировать сеть жертвы и отключать проверку приложений в Google Play Protect.

Google фиксировала и снятие скриншотов, и запись нажатий клавиш, но больше всего времени операторы тратили на установку, удаление и управление модулями. Для офиса это слабое утешение: устройство, которое сканирует сеть и выполняет команды, может служить плацдармом для разведки соседних узлов в сегменте.

Как бэкдор прошёл сертификацию Android TV

Производитель обошёл проверки с помощью обфускации и отложенного запуска: вредоносный код включался только после первой загрузки у покупателя. На тестах совместимости и безопасности Google приставка выглядела чистой, потому что полезная нагрузка ещё не просыпалась.

Google сообщает, что изменила процесс проверки и улучшает контроль прошивок на сертифицированных устройствах Android TV. Технических деталей новых проверок компания не раскрывает.

Вывод для закупок неприятный. Сертификация подтверждает, как устройство вело себя на стенде, а не то, что прошивка сделает через неделю у вас в переговорке. Если производитель сам играет против покупателя, стендовые тесты ловят его только тогда, когда умеют ждать.

Что Google отрезала и откуда взялись ещё 10 млн устройств

Google разорвала все связи с Videostrong и пошла в суд против управляющей инфраструктуры, но уже купленные приставки от этого не вылечились. Вот санкции:

• Videostrong больше не может выпускать устройства с предустановленными приложениями Google;
• запрет распространяется на будущие дочерние структуры и деловых партнёров компании;
• Videostrong не может поставлять софт другим сертифицированным производителям. Этот пункт бьёт как раз по ODM-модели.

Параллельно Google подала иски против доменов и серверов управления ботнетом, а также против управляющих доменов более чем десятка семейств вредоносов, которые доставлялись через бэкдор. В операции участвовали Национальное полицейское агентство Японии, Lumen, HUMAN Security, Plume, Synthient и TrendAI.

Google ожидает, что отключение отрежет ещё минимум 10 млн скомпрометированных устройств: модули партнёров распространялись и другими путями. Это прогноз эффекта, а не подтверждённые жертвы XCPE. Складывать 10 млн с 1,3 млн и называть сумму размером одного ботнета некорректно.

Перехват доменов глушит связь, но код никуда не исчезает. Имплант с системными привилегиями остаётся на устройстве, файлы в /oem на месте, и при новой инфраструктуре связь теоретически можно восстановить.

Google и сама признаёт, что одной операции мало. Операторы бэкдоров, фрод-группы и прокси-провайдеры работают как связанная цепочка поставок: когда выпадает одно звено, остальные быстро переходят на новые загрузчики или конкурирующие наборы.

Компания предлагает ретейлерам требовать от производителей независимых аудитов безопасности и снимать с продажи тех, кто замешан в таких схемах. От прокси-провайдеров Google ждёт проверяемых доказательств согласия пользователей: по её анализу, согласие спрашивали только там, где этого требовала политика платформы. Молчаливый opt-in остаётся самым частым путём превращения устройства в выходной узел.

Итоговая оценка Google жёсткая: производитель, который намеренно заражает своих пользователей, недопустимо злоупотребляет их доверием. Часть ответственности компания возлагает на бренды, перепродающие чужое железо под своей маркой, телеком-операторов и маркетплейсы.

Как проверить Android TV, вывески и караоке в своей сети?

Начните с инвентаризации: найдите все приставки, панели, вывески и медицинские боксы, о которых ИТ обычно не знает. Дальше короткий план:

• Снимите производителя, модель и отпечаток прошивки (свойства ro.product.manufacturer, ro.product.model, ro.build.fingerprint через adb). Сверьте их с данными первоисточника и со списком партнёров на сайте Android TV от Google.
• Поищите пакеты com.oemservice и com.abc.nexus среди установленных. Пустой результат ещё не повод расслабляться: в других сборках имена могут отличаться.
• До перезагрузки и очистки сохраните список пакетов, пути к APK, активные соединения, DNS-запросы и содержимое /oem. Перезагрузка вернёт удалённые компоненты и сотрёт часть картины.
• В сетевых журналах не ограничивайтесь портами MQTT 1883 и 8883: протокол ходит и через TLS, и на нестандартных портах. Ищите длительные исходящие сессии от «телевизоров» и сверяйте домены с индикаторами из отчёта Google. Сами индикаторы мы не публикуем, берите их у первоисточника.
• Подтверждённое заражение считайте компрометацией прошивки: доверенный образ или замена устройства, без вариантов «удалили приложение и забыли».
• Вынесите такие устройства в отдельный VLAN без доступа к рабочим сегментам и ограничьте им исходящие направления.

Заметка из практики. На внутренних пентестах сети мы регулярно находим панель в переговорке или приставку на ресепшене в той же плоской сети, что и бухгалтерия. Её никто не обновлял с момента покупки, а купили её на маркетплейсе как «Android TV без бренда». После XCPE такую коробку разумно считать недоверенным узлом по умолчанию.

Если подобных устройств много или они медицинские, имеет смысл отдельное тестирование безопасности IoT-устройств с разбором прошивки. Для регулярного контроля подойдёт сканирование и оценка уязвимостей.

В закупках правило простое: брать устройства у известных производителей с понятной историей обновлений и не тащить в офис коробки неизвестного происхождения. Сотрудникам стоит объяснить и другое: приложения, которые платят за «неиспользуемый трафик», Google называет одним из главных каналов роста нелегальных прокси-сетей. Play Protect на устройствах держите включённым.

Что пока неизвестно?

Многое из того, что важно нашему читателю, в публикации не раскрыто. Нет данных о распределении 1,3 млн устройств по странам, поэтому долю пострадавших в России и СНГ оценить нельзя. Неизвестно, получат ли проданные устройства чистые прошивки и кто их будет выпускать, если Videostrong отлучена от поставок софта.

Не опубликованы технические детали новых проверок Google для Android TV. Реакции самой Videostrong на обвинения в материале Security Affairs нет. Пока ответов нет, исходите из худшего: устройство с бэкдором в прошивке остаётся скомпрометированным, даже если его управляющий сервер уже молчит.

Частые вопросы

Что такое ботнет XCPE и сколько в нём ТВ-приставок?

Это ботнет на базе бэкдора, встроенного в прошивку Android-устройств. По данным Google, в нём было больше 1,3 млн ТВ-приставок, а также телемедицинские устройства, караоке и цифровые вывески.

Помогает ли удаление приложения убрать бэкдор из прошивки?

Нет. Бэкдор работает с системными привилегиями и при следующей перезагрузке ставится заново из раздела /oem. Сброс к заводским настройкам этот раздел не затрагивает, надёжнее всего доверенная прошивка или замена устройства.

Может ли ТВ-приставка незаметно работать как прокси?

Да, в случае XCPE так и было: модули тихо подключали канал владельца к сетям резидентных прокси, на одном устройстве их бывало до трёх. Чужой трафик при этом выходит в интернет с вашего IP-адреса.

Запрет Google для Videostrong лечит уже купленные устройства?

Нет. Запрет касается новых устройств с приложениями Google и поставок софта другим производителям. Перехват доменов обрывает управление, но имплант остаётся на уже проданных приставках.

Почему сертификация Google не нашла бэкдор?

Код был обфусцирован и включался только после первой загрузки устройства у покупателя, поэтому на тестах совместимости приставка выглядела чистой. Google говорит, что изменила процесс проверки прошивок.

Если в вашей сети живут приставки, панели и прочие «умные» коробки без хозяина, HirexTech поможет найти их, оценить риск и разнести по сегментам. Подробнее о нашем подходе к информационной безопасности.