Google ликвидирует скрытый бэкдор в прошивке устройств
Группа угроз Google Threat Intelligence Group объявила в начале ноября 2026 года о ликвидации масштабного скрытого ботнета под названием XCPE, который поразил более 1,3 миллиона сертифицированных Google телевизионных приставок Android TV и устройств интернета вещей (IoT). Издание Ars Technica сообщило, что вредоносное ПО обходило стандартные проверки безопасности благодаря методам маскировки, примененным китайским производителем Videostrong Technology Co. Расследование показало, что ботнет превратился в модульную платформу, монетизированную за счет продажи доступа киберпреступным группировкам.
Этот инцидент подчеркивает серьезные уязвимости в цепочке поставок экосистемы Android. Как отмечает The Verge, корпорация Google полностью разорвала отношения с Videostrong, запретила компании производить и поставлять сертифицированное оборудование, а также приняла юридические и технические меры против инфраструктуры управления ботнетом. Поскольку бэкдор был внедрен непосредственно в системную прошивку на этапе производства, стандартный сброс настроек может не гарантировать полного удаления угрозы.
Механизмы работы ботнета XCPE
Вредоносная архитектура использовала двухэтапную систему развертывания, позволяющую успешно проходить первоначальную сертификацию. Оборудование, выпущенное Videostrong под различными брендами, включая бюджетную марку MECOOL, поставлялось с бездействующим вспомогательным модулем. После подключения к интернету приложение связывалось с командными серверами, загружая вредоносные компоненты и принудительно отключая защиту Google Play Protect.
Согласно данным Google, зараженные устройства использовались злоумышленниками для организации рекламного мошенничества, проксирования незаконного интернет-трафика и кражи данных. Операторы ботнета также имели возможность выполнять терминальные команды и сканировать локальные сети пользователей.
Масштаб последствий и дальнейшие меры
Действия Google были направлены на отключение инфраструктуры управления и контроля командных серверов. Хотя продукция известных мировых брендов осталась незатронутой, уязвимость затронула множество бюджетных приставок, караоке-автоматов и цифровых табло. В ответ на инцидент компания ужесточила правила проверки производителей оборудования для предотвращения аналогичных угроз.
Дополнительные отраслевые аналитические данные, собранные изданием The Hacker News, показывают, что глобальные партнеры, включая Национальное полицейское управление Японии, Lumen, HUMAN Security, Plume, Synthient и TrendAI, координировали свои действия с Google во время масштабной операции в конце октября. Подразделение корпоративной безопасности Trend Micro под названием TrendAI зафиксировало более 1,47 миллиона зараженных устройств среди 206 уникальных моделей, активных в период с 3 июня по 1 октября, отметив высокую концентрацию в таких регионах, как Малайзия, Бразилия, Ирак, Мексика и Тайвань. Поскольку злоумышленники использовали разнообразные каналы распространения, следователи оценивают, что нейтрализация этих доменов управления прервала соединения по меньшей мере с 10 миллионами дополнительных вторичных конечных точек.
Корпоративные IT-отделы и рядовые потребители сталкиваются со сложными задачами по ликвидации последствий, поскольку бэкдор функционирует как системное приложение, глубоко интегрированное в уровень прошивки. Технические индикаторы компрометации четко указывают на такие идентификаторы пакетов, как x.cpe и com.oemservice, что позволяет специалистам по безопасности проводить аудит сетевой телеметрии и локальных активов. Тем не менее, отсутствие у вендора платформы готовой автоматизированной утилиты для удаления угрозы перекладывает всю ответственность на владельцев оборудования, которым необходимо самостоятельно проверять происхождение устройств, изолировать подозрительное оборудование от конфиденциальных сетей и приобретать замену исключительно у прозрачных и проверенных производителей оригинального оборудования, поддерживающих актуальные циклы обновлений безопасности.