Ponad milion zainfekowanych przystawek Android TV. Google neutralizuje botnet XCPE

Google wspólnie z międzynarodowymi partnerami zneutralizowało botnet XCPE, który objął ponad 1,3 miliona przystawek multimedialnych Android TV. Według ustaleń śledczych chiński producent sprzętu, Videostrong Technology, celowo instalował złośliwe oprogramowanie bezpośrednio w oprogramowaniu układowym urządzeń, czerpiąc zyski ze współpracy z cyberprzestępcami. Koncern technologiczny natychmiast zerwał współpracę z dostawcą, odebrał mu licencje na system z usługami Google oraz zlikwidował serwery kontrolne obsługujące miliony kolejnych zainfekowanych terminali.

Fabryczny backdoor w łańcuchu dostaw elektroniki

W przeciwieństwie do powszechnych zagrożeń bazujących na błędach użytkowników, kod XCPE trafiał do pamięci urządzeń bezpośrednio na liniach produkcyjnych. Główny komponent złośliwego oprogramowania, identyfikowany w systemie jako x.cpe oraz com.oemservice, działał z pełnymi uprawnieniami systemowymi Androida, co pozwalało operatorom na wyłączanie zabezpieczeń Google Play Protect, wgrywanie dodatkowych aplikacji czy rejestrowanie wciskanych klawiszy. Zespół analityków Google Threat Intelligence Group podkreślił w oficjalnym raporcie, że mechanizm ten został z wysokim prawdopodobieństwem świadomie opracowany, wdrożony i eksploatowany dla zysku przez spółkę Videostrong Technology, wykluczając przy tym działanie pojedynczego sabotażysty czy zwykłe przeoczenie programistyczne. Infekcję wykryto między innymi w modelu MECOOL KM9PRO Max zakupionym pod koniec 2025 roku, przy czym w dokumentacji źródłowej nie podano parametrów sprzętowych ani cen tego urządzenia. Złośliwy kod osadzono na partycji OEM, co powoduje jego samoczynne odnawianie po próbie usunięcia, przez co skuteczne zabezpieczenie sprzętu wymaga wgrania czystego oprogramowania układowego bądź trwałego odłączenia go od sieci.

Złożona architektura i monetyzacja ruchu sieciowego

Zainfekowane terminale funkcjonowały jako modułowa platforma udostępniana zewnętrznym grupom przestępczym. Po uruchomieniu sprzęt nawiązywał łączność z domeną anyevonline[.]com oraz brokerem MQTT mqtt.szbboys[.]com w celu odbierania poleceń zdalnych. Przystawki wykorzystywano do generowania fałszywych odsłon reklamowych oraz włączania ich w struktury komercyjnych sieci proxy, takich jak NetNut, Traffmonetizer, Linkfog czy Honeygain, co pozwalało na transferowanie obcego ruchu sieciowego bez wiedzy posiadaczy urządzeń. Architektura złośliwego kodu podlegała ciągłym modyfikacjom utrudniającym wykrycie; pod koniec 2024 roku wprowadzono loader com.abc.nexus, a w sierpniu 2026 roku zaczęto zastępować go wyspecjalizowanymi modułami maskowanymi pod postacią standardowych aplikacji systemowych.

Globalna koordynacja i konsekwencje dla producenta

Operację neutralizacji infrastruktury C2 przeprowadzono we współpracy z japońską policją oraz przedsiębiorstwami technologicznymi Lumen, HUMAN Security, Plume, Synthient i TrendAI. Przejęcie serwerów kontrolnych pozwoliło odciąć dostęp do co najmniej 10 milionów dodatkowych skompromitowanych urządzeń, w tym maszyn do karaoke, systemów telemedycznych oraz innych dekoderów. Bezpośrednie powiązanie operacji z firmą Videostrong umożliwiła analiza otwartego katalogu na serwerze z plikami należącymi do dyrektora do spraw badań i rozwoju tego producenta, zbieżność adresów IP z oficjalną domeną videostrong[cn] oraz użycie firmowych adresów poczty elektronicznej do podpisywania komponentów złośliwego kodu. W rezultacie Google cofnęło producentowi uprawnienia do wytwarzania certyfikowanych urządzeń z Android TV, zablokowało możliwość dostarczania przez niego oprogramowania innym licencjonowanym partnerom oraz zmodyfikowało własne procedury weryfikacji sprzętu w łańcuchu dostaw.