В конце октября Google провела операцию против ботнета, охватившего более 1,3 млн устройств на Android, главным образом телевизионных приставок. Юридическими мерами компания добилась отключения доменов и серверов, через которые преступники управляли заражёнными устройствами. Одновременно были выведены из строя домены управления более чем дюжины семейств вредоносных программ, загружавшихся через бэкдор.
Google работала вместе с Национальным полицейским агентством Японии, Lumen, HUMAN Security, Plume, Synthient и TrendAI. Последняя — корпоративное подразделение Trend Micro — насчитала с 3 июня по 1 октября 1 472 554 заражённых устройства 206 моделей и считает эту цифру нижней границей реального масштаба. Больше всего заражений обнаружили в Малайзии, Бразилии, Ираке, Мексике и на Тайване. В США, Германии, Великобритании, Австралии и Канаде в каждой стране насчитывалось примерно от 26 000 до 42 000 устройств.
Google с высокой уверенностью возлагает ответственность на Videostrong, производителя устройств из Шэньчжэня. По версии компании, Videostrong намеренно встроила в устройства бэкдор и предоставила преступникам доступ к нему. Google не считает случившееся случайной ошибкой или работой злоумышленника внутри компании. Она разорвала связи с Videostrong и запретила ей, а также будущим дочерним и связанным компаниям, выпускать или продавать сертифицированные устройства Android и поставлять программное обеспечение другим производителям сертифицированной техники.
Бэкдор называется x.cpe. Он встроен в прошивку и работает как системное приложение с доступом на уровне системы. Связавшись с серверами управления ботнетом, x.cpe ждёт команд и отключает проверки приложений в Google Play Protect, встроенной системе защиты Android. Это позволяет устанавливать программы без ведома владельца. Операторы также могли выполнять команды, снимать происходящее на экране и изучать сеть, к которой подключено устройство.
По данным Google, операторы Videostrong использовали эти возможности для создания снимков экрана в реальном времени, перехвата нажатий клавиш и копирования данных аккаунтов, сведений об устройствах, списков приложений и системных журналов. Они открывали и так называемые обратные оболочки — удалённую командную строку на заражённом устройстве. Большинство дополнительных вредоносных модулей превращало приставки в резидентные прокси: через домашнее интернет-соединение владельца пропускали чужой трафик, а неиспользуемую пропускную способность перепродавали. Другие модули накручивали просмотры интернет-рекламы.
Заражённые устройства чаще всего были Android TV-приставками, но x.cpe обнаружили также на устройствах телемедицины, караоке-машинах и цифровых информационных табло. В отчёте Synthient перечислены 182 названия моделей, замеченных в кампании; одно совпадение по названию ещё не доказывает заражение. Исследователи сосредоточились на приставках MECOOL, связывая этот бренд с Videostrong. Купленная Synthient модель MECOOL KM9PRO Max уже содержала x.cpe. Plume, поставщик Wi-Fi-программного обеспечения для интернет-провайдеров, обнаружила более десятка типов устройств, обращавшихся к серверам ботнета; большинство тоже относилось к MECOOL.
Связанные с ботнетом преступники распространяли вредоносные программы и другими способами. Поэтому Google ожидает, что операция лишит их доступа как минимум ещё к 10 млн заражённых устройств. При этом компания предупреждает: операторы бэкдоров и покупатели доступа быстро переходят на новые инструменты, когда часть инфраструктуры отключают. Удалить x.cpe вручную надолго не получится: программа находится в прошивке и возвращается после перезапуска. TrendAI отмечает, что приложение подписано ключом производителя; для очистки, по формулировке компании, нужны «действия производителя, защита платформы или замена устройства».
Plume рекомендует полный сброс к заводским настройкам: дополнительные модули могли установить другие бэкдоры. Однако эта рекомендация не подтверждает, что сброс удалит сам x.cpe. Synthient советует навсегда избавиться от приставок, ссылаясь на высокий риск заражения. Организациям Synthient предлагает искать MECOOL и похожие устройства по опубликованным индикаторам, отключать и утилизировать найденную технику, блокировать перечисленные в отчёте домены и IP-адреса управления, а остальные умные устройства держать в отдельном сегменте сети, подальше от важных систем. TrendAI советует компаниям с удалёнными сотрудниками считать неуправляемые бытовые устройства в домашних сетях частью поверхности атаки и предоставлять доступ к корпоративным системам только через контролируемые компанией устройства.
Связь Videostrong с операцией Google обосновывает несколькими находками. X.cpe передавал настройки с сервера управления другим приложениям Videostrong, в том числе стриминговому плееру YokaTV Player. Один GitHub-аккаунт, где размещались пакеты ботнета, назывался yf-videostrong. Synthient, сотрудничавшая с Google, обнаружила на открытой папке одного из серверов документ с подписью директора Videostrong по исследованиям и разработкам; кроме того, веб-домен компании использовал тот же IP-адрес, что и панель управления операторов. Plume установила, что Videostrong поставляла и прошивку устройств, и инструменты для их удалённого управления.
История выявила пробел в проверках Google. Производители должны проходить тесты совместимости и безопасности, но, по словам компании, Videostrong скрыла код от тестирования и загрузила вредоносную часть уже после первого запуска устройства. Google изменила процедуру проверки и усиливает контроль прошивок сертифицированных Android TV-устройств. Тем не менее на 2 ноября сайт Videostrong всё ещё рекламировал продукты с обозначениями «сертифицированная Google Android TV Box» и «сертифицированный Google Android TV Stick». Plume обнаружила в ботнете и сертифицированные устройства Google, и технику на Android Open Source Project (AOSP). Сколько именно сертифицированных устройств пострадало, в отчёте Google не указано. В июле 2025 года компания подала иск по делу о ботнете BadBox 2.0, затронувшем более 10 млн несертифицированных устройств.
Изображение носит иллюстративный характер
Google работала вместе с Национальным полицейским агентством Японии, Lumen, HUMAN Security, Plume, Synthient и TrendAI. Последняя — корпоративное подразделение Trend Micro — насчитала с 3 июня по 1 октября 1 472 554 заражённых устройства 206 моделей и считает эту цифру нижней границей реального масштаба. Больше всего заражений обнаружили в Малайзии, Бразилии, Ираке, Мексике и на Тайване. В США, Германии, Великобритании, Австралии и Канаде в каждой стране насчитывалось примерно от 26 000 до 42 000 устройств.
Google с высокой уверенностью возлагает ответственность на Videostrong, производителя устройств из Шэньчжэня. По версии компании, Videostrong намеренно встроила в устройства бэкдор и предоставила преступникам доступ к нему. Google не считает случившееся случайной ошибкой или работой злоумышленника внутри компании. Она разорвала связи с Videostrong и запретила ей, а также будущим дочерним и связанным компаниям, выпускать или продавать сертифицированные устройства Android и поставлять программное обеспечение другим производителям сертифицированной техники.
Бэкдор называется x.cpe. Он встроен в прошивку и работает как системное приложение с доступом на уровне системы. Связавшись с серверами управления ботнетом, x.cpe ждёт команд и отключает проверки приложений в Google Play Protect, встроенной системе защиты Android. Это позволяет устанавливать программы без ведома владельца. Операторы также могли выполнять команды, снимать происходящее на экране и изучать сеть, к которой подключено устройство.
По данным Google, операторы Videostrong использовали эти возможности для создания снимков экрана в реальном времени, перехвата нажатий клавиш и копирования данных аккаунтов, сведений об устройствах, списков приложений и системных журналов. Они открывали и так называемые обратные оболочки — удалённую командную строку на заражённом устройстве. Большинство дополнительных вредоносных модулей превращало приставки в резидентные прокси: через домашнее интернет-соединение владельца пропускали чужой трафик, а неиспользуемую пропускную способность перепродавали. Другие модули накручивали просмотры интернет-рекламы.
Заражённые устройства чаще всего были Android TV-приставками, но x.cpe обнаружили также на устройствах телемедицины, караоке-машинах и цифровых информационных табло. В отчёте Synthient перечислены 182 названия моделей, замеченных в кампании; одно совпадение по названию ещё не доказывает заражение. Исследователи сосредоточились на приставках MECOOL, связывая этот бренд с Videostrong. Купленная Synthient модель MECOOL KM9PRO Max уже содержала x.cpe. Plume, поставщик Wi-Fi-программного обеспечения для интернет-провайдеров, обнаружила более десятка типов устройств, обращавшихся к серверам ботнета; большинство тоже относилось к MECOOL.
Связанные с ботнетом преступники распространяли вредоносные программы и другими способами. Поэтому Google ожидает, что операция лишит их доступа как минимум ещё к 10 млн заражённых устройств. При этом компания предупреждает: операторы бэкдоров и покупатели доступа быстро переходят на новые инструменты, когда часть инфраструктуры отключают. Удалить x.cpe вручную надолго не получится: программа находится в прошивке и возвращается после перезапуска. TrendAI отмечает, что приложение подписано ключом производителя; для очистки, по формулировке компании, нужны «действия производителя, защита платформы или замена устройства».
Plume рекомендует полный сброс к заводским настройкам: дополнительные модули могли установить другие бэкдоры. Однако эта рекомендация не подтверждает, что сброс удалит сам x.cpe. Synthient советует навсегда избавиться от приставок, ссылаясь на высокий риск заражения. Организациям Synthient предлагает искать MECOOL и похожие устройства по опубликованным индикаторам, отключать и утилизировать найденную технику, блокировать перечисленные в отчёте домены и IP-адреса управления, а остальные умные устройства держать в отдельном сегменте сети, подальше от важных систем. TrendAI советует компаниям с удалёнными сотрудниками считать неуправляемые бытовые устройства в домашних сетях частью поверхности атаки и предоставлять доступ к корпоративным системам только через контролируемые компанией устройства.
Связь Videostrong с операцией Google обосновывает несколькими находками. X.cpe передавал настройки с сервера управления другим приложениям Videostrong, в том числе стриминговому плееру YokaTV Player. Один GitHub-аккаунт, где размещались пакеты ботнета, назывался yf-videostrong. Synthient, сотрудничавшая с Google, обнаружила на открытой папке одного из серверов документ с подписью директора Videostrong по исследованиям и разработкам; кроме того, веб-домен компании использовал тот же IP-адрес, что и панель управления операторов. Plume установила, что Videostrong поставляла и прошивку устройств, и инструменты для их удалённого управления.
История выявила пробел в проверках Google. Производители должны проходить тесты совместимости и безопасности, но, по словам компании, Videostrong скрыла код от тестирования и загрузила вредоносную часть уже после первого запуска устройства. Google изменила процедуру проверки и усиливает контроль прошивок сертифицированных Android TV-устройств. Тем не менее на 2 ноября сайт Videostrong всё ещё рекламировал продукты с обозначениями «сертифицированная Google Android TV Box» и «сертифицированный Google Android TV Stick». Plume обнаружила в ботнете и сертифицированные устройства Google, и технику на Android Open Source Project (AOSP). Сколько именно сертифицированных устройств пострадало, в отчёте Google не указано. В июле 2025 года компания подала иск по делу о ботнете BadBox 2.0, затронувшем более 10 млн несертифицированных устройств.
