Google совместно с Национальным полицейским агентством Японии и компаниями в сфере кибербезопасности пресекла работу бэкдора XCPE, который объединил более 1,3 млн ТВ-приставок и других устройств на Android в более чем 200 странах. В операции участвовали Lumen, Human Security, Plume, Synthient и TrendAI, пишет Register.
Google связывает ботнет с китайским производителем электроники Videostrong Technology. По версии компании, производитель намеренно встраивал вредоносное ПО в прошивку устройств ещё на этапе производства и несколько лет совершенствовал его, чтобы обходить обнаружение. Заражению подверглись приставки разных брендов и моделей, а также системы караоке, оборудование для телемедицины и цифровые рекламные панели, часть из которых работает не на Android.
После первого запуска устройство связывалось с командным сервером и получало команды через брокер сообщений MQTT. Операторы могли скрытно устанавливать приложения, выполнять shell-команды, делать снимки экрана, перехватывать нажатия клавиш и собирать данные об устройстве. Заражённые приставки использовались для рекламного мошенничества и как узлы прокси-сетей, в том числе сервисов Linkfog, AppSalt/Honeygain, GaGaNode, NetNut и Traffmonetizer.
Synthient обнаружила вредоносное ПО на приставке Mecool KM9PRO Max, приобретённой в конце 2025 года, и нашла общий каталог с бэкдорами, где хранился файл, автором которого значился директор по исследованиям и разработке Videostrong Оуэн Цао. Домен производителя был привязан к тому же IP-адресу, что и сервер управления бэкдором.
Google разорвала отношения с Videostrong, отозвала лицензию на выпуск устройств с сервисами Google и запретила компании и её аффилированным структурам выпускать сертифицированные Android-устройства. Работу инфраструктуры ботнета нарушили, но сам вредонос сохраняется на заражённых устройствах и восстанавливается при попытке удаления из раздела /oem/. Google отметила Россию среди стран, где присутствуют заражённые устройства; приставки Videostrong продаются на российских торговых площадках.
