Google при поддержке партнёров ликвидировала ботнет XCPE, в который входили более 1,3 млн телеприставок под управлением Android. Их производитель, по версии Google, намеренно внедрял в устройства вредоносное ПО с целью получения дохода от киберпреступной деятельности.

Обзор HONOR Pad X9b Max: универсальный большой планшет с антибликовым экраном

Топ-10 смартфонов до 20 тысяч рублей (2026 год)

Групповое тестирование 46 видеокарт в The Witcher 3: Wild Hunt — Remastered

Компьютер месяца, спецвыпуск: выбираем мини-ПК для работы и развлечений в эпоху дефицита чипов памяти

Гид по выбору складного смартфона в 2026 году

Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700

Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)

Сравнительный тест камер флагманских смартфонов (2026): итоги

Мастерская локальных ИИ: салат картофельный с Qwen3.8

Источник изображения: Glenn Carstens-Peters / unsplash.com

Поисковый гигант с высокой степенью вероятности связывает ботнет XCPE с китайским производителем электроники Videostrong Technology. Компания обвиняет его в преднамеренной установке бэкдора, то есть скрытого канала доступа, в выпускаемые устройства и последующей продаже доступа к ним злоумышленникам. Скомпрометированные устройства использовались для рекламного мошенничества, служили в качестве узлов прокси-сетей, на них также устанавливалось дополнительное вредоносное ПО.

Устройства компрометировались с помощью других вредоносов, не связанных напрямую с XCPE — в их число входят телеприставки, системы караоке и оборудование для телемедицины. Не все эти устройства работают под управлением Android. Google разорвала отношения с Videostrong, отозвала у компании лицензию на производство устройств под управлением Android TV с предустановленными приложениями и сервисами Google, а также запретила компании и её аффилированным структурам выпускать сертифицированные Android-устройства или поставлять ПО для сертифицированных производителей.

В операции по нейтрализации ботнета, помимо Google, участвовали Национальное полицейское агентство Японии, а также специализирующиеся на кибербезопасности компании Lumen, Human Security, Plume, Synthient и TrendAI — совместными усилиями они проанализировали вредоносную инфраструктуру и пресекли её работу.

Ботнет XCPE проникал на устройства не через уязвимости в ПО, а внедрялся в прошивку устройств ещё на этапе производства. На протяжении нескольких лет, утверждает Google, компания Videostrong распространяла это вредоносное ПО, внедряя его в устройства различных брендов и моделей. Функциональность вредоносного кода постоянно совершенствовалась, чтобы избежать обнаружения и удовлетворять запросы различных преступных группировок. Основной компонент бэкдора работает с системными привилегиями Android.

Отметим, что проблема затронула и российских пользователей — Google отметила Россию как страну, в которой присутствуют заражённые устройства. Заметим, что устройства Videostrong продаются в России на популярных торговых площадках, причём не только с доставкой из Китая — их реализуют и местные продавцы.

Вредонос имеет модульную архитектуру — функции бэкдора отделены от модулей, предназначенных для получения дохода в интересах партнёров. После запуска заражённого устройства компонент XCPE связывался с командным сервером, чтобы получить данные для подключения и учётные данные для брокера сообщений MQTT, который использовался для получения команд. Через это соединение операторы удалённо управляли скомпрометированными устройствами и выполняли вредоносные действия, в том числе:

• в скрытном режиме загружали и устанавливали дополнительные Android-приложения;
• отключали системы Google Play Protect;
• выполняли shell-команды и скрипты с системными привилегиями;
• делали снимки экрана и перехватывали нажатия клавиш;
• собирали информацию об учётных записях, сведения об устройстве, списки установленных приложений и системные журналы;
• проводили разведку сети и создавали обратные соединения.

Устройства использовались для извлечения прибыли путём установки вредоносных модулей, принадлежащих другим операторам. Бэкдор выполнял роль платформы для киберпреступной деятельности сторонних злоумышленников. Некоторые из этих модулей были связаны с сервисами резидентных прокси Linkfog, AppSalt/Honeygain, GaGaNode, NetNut и Traffmonetizer — они использовались для перенаправления интернет-трафика третьих лиц через заражённые устройства баз ведома и согласия их владельцев.

Другие модули использовались в мошеннических схемах с рекламой — они генерировали показы, загружали скрытые веб-страницы и имитировали клики по рекламным объявлениям. Загружались и дополнительные бэкдоры, такие как Moyu, Spirit и Bird, для загрузки и запуска дорогих вредоносов.

Чтобы избежать обнаружения, операторы ботнета постоянно меняли архитектуру вредоносной программы. В конце 2024 года Videostrong стала использовать отдельный загрузчик для запуска вредоносных модулей, а XCPE отвечал за взаимодействие с управляющей инфраструктурой. В августе загрузчик заменили более компактными специализированными дропперами, которые маскировались под системные приложения Android.

Synthient рассказала, как ей удалось связать бэкдор XCPE и его инфраструктуру с компанией Videostrong — это случилось, когда на приобретённой в конце 2025 году приставке Mecool KM9PRO Max под Android TV обнаружилось вредоносное ПО. Специалисты компании обнаружили общедоступный каталог с бэкдорами; там же хранилась папка с файлом PDF, автором которого значился директор по исследованиям и разработке Videostrong Оуэн Цао (Owen Cao). Домен производителя оказался привязан к тому же IP-адресу, что и сервер управления бэкдором. Для цифровой подписи различных бэкдоров использовались принадлежащие Videostrong адреса электронной почты. Всё это, говорят в Google, указывает на намеренный характер действий производителя.

В Google изменили процесс сертификации устройств после того, как выяснилось, что Videostrong применяла методы обфускации, чтобы обходить проверки безопасности и загружать вредоносный код после первого же включения устройства. Google сумела нарушить работу XCPE, но вредонос с заражённых устройств не удалился — при попытке его уничтожить он автоматически восстанавливается из раздела /oem/. Для полного устранения угрозы пользователям требуется либо установить не заражённую прошивку, либо отключить скомпрометированное устройство от интернета, чтобы предотвратить вредоносную активность.

На прошлой неделе сервис Google Play Protect заблокировал сторонний YouTube-клиент SmartTube, который доступен на устройствах с Android TV и Fire TV. Это произошло после того, как цифровая подпись приложения была скомпрометирована. На тот момент считалось, что именно из-за этого Google и Amazon принудительно удалили SmartTube со всех пользовательских устройств. На деле проблема оказалась более серьёзной.

Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700

Обзор HONOR Pad X9b Max: универсальный большой планшет с антибликовым экраном

Сравнительный тест камер флагманских смартфонов (2026): итоги

Компьютер месяца, спецвыпуск: выбираем мини-ПК для работы и развлечений в эпоху дефицита чипов памяти

Мастерская локальных ИИ: салат картофельный с Qwen3.8

Гид по выбору складного смартфона в 2026 году

Групповое тестирование 46 видеокарт в The Witcher 3: Wild Hunt — Remastered

Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)

Топ-10 смартфонов до 20 тысяч рублей (2026 год)

Источник изображения: SmartTube

Разработчики SmartTube подтвердили, что один из их компьютеров, используемый для сборки официальных APK-файлов приложения, был заражён вредоносным ПО. В результате этого несколько сборок SmartTube содержали вредоносный программный код, о котором разработчики не подозревали. Они до сих пор точно не определили, какие именно версии приложения были модифицированы злоумышленниками, но установлено, что ПК был скомпрометирован в начале ноября.

SmartTube версий 30.43 и 30.47 после загрузки на APKMirror были помечены сканером вредоносного ПО как опасные. Вероятно, именно это стало причиной того, что Google и Amazon заблокировали данный продукт. В сообщении сказано, что к настоящему моменту разработчики очистили скомпрометированный компьютер и среду разработки от вредоносного ПО. Также была выпущена новая сборка SmartTube 30.56, которая была создана после очистки компьютера от вредоносного ПО. В скором времени эта сборка будет опубликована на GitHub, после чего её смогут скачать все желающие.

Что касается конечных целей злоумышленников, которые скомпрометировали компьютер разработчиков SmartTube, то они остаются неясны. Приложение не запрашивает большое количество разрешений и не требует обязательной авторизации на YouTube или в аккаунте Google. Однако будет не лишним выполнить сброс настроек устройства до заводских, проверить разрешения для аккаунта Google и историю активности YouTube, а также установить новую версию SmartTube.