Google ликвидировала масштабный ботнет Android TV, но заражённые устройства по-прежнему опасны03.11.2026 16:05

Google пресекла масштабную операцию с вредоносным ПО для Android: она превратила более 1,3 миллиона приставок Android TV в орудие киберпреступников.

Компания сообщила, что за операцией стояла Videostrong Technology — производитель устройств, которого обвиняли в намеренной установке скрытого бэкдора на свою продукцию и продаже доступа к нему преступным партнёрам.

Вредоносная программа, получившая название XCPE или x.cpe, была встроена непосредственно в прошивку приставок Android TV, продававшихся под разными брендами. По данным группы анализа угроз Google, Videostrong разработала бэкдор как бизнес-инструмент, а не допустила его появления по ошибке. Преступные партнёры могли использовать заражённые устройства для накрутки просмотров рекламы, перенаправления интернет-трафика через дома ничего не подозревающих пользователей и установки новых вредоносных программ.

Бэкдор, который позволяет преступникам управлять вашей ТВ-приставкой

XCPE вызывает у Google особую тревогу, поскольку работает с системными привилегиями Android. Она подключается к удалённым серверам управления, позволяя злоумышленникам незаметно устанавливать приложения, выполнять команды оболочки, делать снимки экрана и собирать информацию об устройстве.

Google также обнаружила, что вредоносная программа могла собирать данные учётных записей, списки приложений и системные журналы. Некоторые операторы даже использовали возможность удалённого доступа к устройствам, чтобы перехватывать нажатия клавиш и создавать обратные оболочки.

Однако простого удаления вредоносного приложения недостаточно. При каждой перезагрузке устройства бэкдор может восстановиться из защищённого раздела прошивки. Он также способен влиять на работу Google Play Protect, изменяя настройки безопасности, из-за чего обнаружить и удалить его становится гораздо сложнее.

Чаще всего заражение распространяется через приставки Android TV, однако исследователи обнаружили XCPE и на других устройствах под управлением Android — например, караоке-системах, оборудовании для телемедицины и системах цифровых вывесок.

Google перекрыла доступ Videostrong и её преступным партнёрам

Google провела операцию по ликвидации сети совместно с Национальным полицейским агентством Японии, Lumen, HUMAN Security, Plume, Synthient и TrendAI. Иск компании была направлена против серверов управления, которыми пользовалась Videostrong, а также инфраструктуры более чем десятка других семейств вредоносных программ.

Компания также запретила Videostrong и её будущим дочерним предприятиям выпускать сертифицированные устройства Android и поставлять программное обеспечение сертифицированным производителям.

Последствия операции могут оказаться ещё масштабнее. По оценкам Google, отключение инфраструктуры управления, которой пользовались преступные партнёры, лишит их доступа как минимум ещё к 10 миллионам скомпрометированных устройств, заражённых через другие каналы распространения.

Заражённые приставки Android TV, возможно, придётся заменить

Однако для потребителей есть важный нюанс: ликвидация сети не удаляет XCPE с заражённых устройств автоматически. По словам исследователей в области безопасности, пользователям следует выявить потенциально скомпрометированные устройства, отключить их от сети и рассмотреть возможность замены, а не полагаться на обычное удаление приложения.

Google также ужесточила проверку целостности прошивок и процедуру проверки производителей после того, как выяснила: Videostrong использовала обфускацию, чтобы загружать вредоносный код уже после первоначального запуска устройства.