- Google пресекла деятельность XCPE — ботнета, включающего более 1,3 млн Android TV-приставок, заражённых предустановленным вредоносным ПО.
- Ликвидация ботнета заблокировала удалённый доступ злоумышленников, однако бэкдор остаётся встроенным в прошивку затронутых устройств.
- Публичное уведомление о отзыве устройств XCPE или обновлении чистой прошивки не опубликовано, поэтому владельцам приходится самостоятельно искать способы устранения проблем или заменять устройства через продавцов.
2 ноября компания объявила о том, что Google и её партнёры пресекли работу ботнета XCPE, в который входило более 1,3 млн Android TV-приставок. В результате операции злоумышленники потеряли удалённый доступ к устройствам. Однако вредоносное ПО остаётся скрытым в их прошивке.
Для тех, кто приобрел эти коробки, возникает вопрос: что будет дальше. Обзор данных от Google, TrendAI и Synthient, а также информации со страницы гарантии MECOOL по состоянию на 3 ноября не выявил признаков отзыва продукции, связанной с XCPE, обновления прошивки до чистой версии или схемы массовой замены устройств. В обзор были включены только документы, ставшие общедоступными, без учета ответов конкретных продавцов.
Как предустановленный агент передавал данные на серверы злоумышленников
Вредоносное ПО поставлялось вместе с устройством. По данным Google, модуль x.cpe (на некоторых устройствах известный как com.oemservice) был предустановлен в прошивку и имел системный уровень доступа. Даже после удаления он автоматически восстанавливается из раздела /oem/ при перезагрузке.
После включения устройства и установления подключения к интернету предустановленный агент начинал связываться с управляющими серверами и отправлять команды приложениям com.abc.nexus или новым загрузчикам.
Злоумышленники могли использовать сообщения MQTT для установки приложений без разрешения пользователя, выполнения команд и записи экрана. По данным TrendAI, системное приложение подписано цифровым ключом производителя, что значительно усложняло возможность его удаления владельцами устройств.
Кого обвиняет Google
Google уверена, что Videostrong намеренно создала и эксплуатировала бэкдор для получения прибыли. Производитель маскировал вредоносный код, чтобы обойти проверки сертификации Android.
В ответ Google запретила Videostrong и её будущим аффилированным лицам выпускать сертифицированные устройства на базе Android или поставлять программное обеспечение сертифицированным поставщикам. Также были усилены проверки прошивок. Национальное полицейское агентство Японии и несколько компаний по кибербезопасности сотрудничали с Google в рамках операции по устранению угрозы.
Отслеживание финансовых потоков через домашний широкополосный интернет
Мошенники использовали домашние интернет-соединения для генерации дохода. Заражённые ТВ-приставки функционировали как резидентные прокси-серверы, предоставляя другим лицам доступ без ведома владельцев заражённых устройств. Кроме того, злоумышленники внедрили программы для мошенничества с рекламой. С 3 июня по 1 октября 2026 года TrendAI отслеживала 3,85 миллиона уникальных резидентных исходящих IP-адресов.
Подключения к домашним сетям полезны для злоумышленников, поскольку их активность выглядит легитимно. По данным FBI, это является результатом использования домашних прокси-серверов, которые позволяют преступникам маскироваться под обычных потребителей. Аналогичные угрозы существуют и для рекламодателей. DoubleVerify зафиксировала на 140% больше схем и вариантов мошенничества в сфере подключенного телевидения (Connected TV) в первом квартале 2026 года по сравнению с аналогичным периодом прошлого года. Однако не все такие мошеннические схемы относятся к категории XCPE.
Какие именно приставки и что могут сделать владельцы
Synthient исследовала устройство MECOOL KM9PRO Max и перечислила строки моделей, включая KM9PRO_MAX, KM7PLUS и KD3. Совпадения названий сами по себе не доказывают факт заражения.
Гарантия MECOOL предоставляет 30 дней на возврат и покрытие в течение одного года при выявлении дефектов качества, однако не предусматривает специальных мер для устройств XCPE. Обеспокоенным владельцам следует отключить подозрительные приставки и потребовать у продавцов документально подтверждённого решения проблемы или замены устройства.
Почему смерть C2 — это не конец
Google также атаковала домены управления аффилированными структурами, что, по оценкам компании, может лишить доступа ещё как минимум 10 миллионов скомпрометированных устройств. Они отделены от 1,3 миллиона устройств XCPE.
Риск повторного появления ботнета реален. Ранее существовавшая другая Android TV-ботнет выросла с 74 000 устройств в 2023 году до более чем 10 миллионов к 2025 году, как сообщил Cryptopolitan.
Объём рынка ещё больше. Grand View Research прогнозирует объём мирового рынка подключённых телевизоров (CTV) на уровне $318,6 млрд к 2026 году. Pixalate оценивает долю Roku в глобальной программной рекламе CTV на уровне 36%. Ни один из этих показателей не отражает убытки, связанные с XCPE.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Часто задаваемые вопросы
Что такое ботнет XCPE?
XCPE — это бэкдор, предустановленный в прошивке более 1,3 млн устройств на базе Android, преимущественно ТВ-приставок и проекторов, которые были включены в ботнет для мошенничества с рекламой, создания трафика через домашние прокси-серверы и загрузки дополнительного вредоносного ПО, сообщает Google.
Можно ли удалить вредоносное ПО с помощью сброса до заводских настроек?
Не надёжно. По данным TrendAI, внедрение работает как системное приложение, подписанное ключом производителя, поэтому для его удаления требуется вмешательство вендора, исправление на уровне платформы или замена устройства. ФБР предупреждает, что некоторые виды предустановленного вредоносного ПО сохраняются даже после сброса настроек.
Кто, по мнению Google, несёт ответственность?
Google с высокой степенью уверенности утверждает, что компания Videostrong Technology Co. намеренно создала и монетизировала этот бэкдор. Компания навсегда заблокирована от выпуска сертифицированных устройств на базе Android и от поставки программного обеспечения сертифицированным поставщикам.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Мика Абийоун
Мика Абьодун успешно применяет свои знания в области экологического инжиниринга и управления (MSc), полученные в Технологическом университете Таллинна (TalTech), для создания качественного контента и новостей о прогнозах цен в Cryptopolitan. Находясь в крипто-медиа сфере уже 7 лет, он освещает основные криптовалюты, альткоины, DeFi, стейблкоины, макроэкономические тренды и новые технологии.
