Google rozbija botnet XCPE z 1,3 mln przystawek Android TV. Videostrong celowo wbudowało backdoor w firmware urządzeń - PurePC

Botnet XCPE wykorzystywał lukę w testach bezpieczeństwa Google, pozwalając operatorom na instalowanie programów, wykradanie danych i otwieranie zdalnych powłoki. Złośliwy kod ładował się dopiero po pierwszym uruchomieniu urządzenia, a po odinstalowaniu wracał z partycji /oem/ po ponownym uruchomieniu.

Grupa Google Threat Intelligence (GTIG) z wysoką pewnością przypisuje stworzenie i rozwijanie botnetu firmie Videostrong Technology z Shenzhen. Producent dostarczał sprzęt dla wielu marek i współpracował z Google przy certyfikowanych urządzeniach, co czyni ten przypadek szczególnie dotkliwym dla zaufania w branży.

Videostrong zarabiało na backdoorze, sprzedając dostęp do urządzeń przestępczym partnerom i umożliwiając im instalowanie własnych modułów. Te generowały fałszywe kliknięcia reklamowe albo zamieniały domowe łącza w punkty wyjścia dla residential proxy, co pozwalało ukrywać rzeczywiste źródło połączenia.

Złośliwe moduły i partnerzy

Wśród wykrytych komponentów znalazły się AppSalt, którego właścicielem jest Honeygain należący do Oxylabs, a także NetNut i Traffmonetizer. Google zaobserwowało trzy różne pakiety SDK do obsługi proxy działające na jednej przystawce, co wskazuje na zorganizowany charakter operacji.

Skala operacji jest większa, niż wynika z samej liczby urządzeń objętych botnetem XCPE. TrendAI z grupy Trend Micro zarejestrował od 3 czerwca do 1 października 2026 roku dokładnie 1 472 554 zainfekowane urządzenia w 206 modelach, z czego około 1,33 mln miało zaplanowane moduły proxy i oszustw reklamowych.

Synthient zbadało między innymi przystawkę MECOOL KM9PRO Max, w której znalazło backdoor x.cpe. Urządzenia tej marki pojawiły się w 2023 roku w materiale Linus Tech Tips, ale kanał później wyjaśnił, że film miał ostrzegać przed zakupem produktu, a nie go rekomendować.

Konsekwencje dla producenta

Google, japońska policja i partnerzy z branży bezpieczeństwa doprowadzili do wyłączenia serwerów oraz domen sterujących botnetem. Działania objęły również infrastrukturę ponad kilkunastu rodzin złośliwego oprogramowania instalowanego przez dodatkowe moduły.

Google szacuje, że odcięcie powiązanych domen C2 pozbawi przestępców dostępu do co najmniej 10 mln kolejnych zainfekowanych urządzeń. Koncern wykluczył Videostrong oraz jego przyszłe spółki zależne i podmioty powiązane z możliwością produkowania certyfikowanych urządzeń Android oraz dostarczania oprogramowania innym certyfikowanym producentom.

Wyłączenie serwerów nie usuwa jednak złośliwego kodu z przystawek. Backdoor pozostaje w firmware i może ponownie się zainstalować po restarcie, jeśli użytkownik wcześniej go usunie. Synthient zaleca pozbycie się zagrożonych urządzeń, zamiast polegania na zwykłym przywróceniu ustawień fabrycznych.