ТВ-приставка с бэкдором из коробки: что известно про ботнет XCPE

Дешёвая Android-приставка для телевизора может оказаться заражённой ещё в магазинной коробке. Google подтвердила это на крупном примере: компания разобрала ботнет XCPE, в который входили больше 1,3 миллиона устройств, в основном ТВ-боксов. Вредонос заложил сам производитель, и владельцы не могли его заметить.

Кто стоит за ботнетом

По данным Google Threat Intelligence Group, XCPE создала и обслуживала китайская компания Videostrong Technology из Шэньчжэня. Она выпускает приставки под своей маркой MECOOL и делает устройства для других брендов. В Google с высокой уверенностью заявляют, что бэкдор встроили намеренно, ради заработка: Videostrong продавала доступ партнёрам, а те загружали на приставки свои модули.

Google разорвала отношения с производителем, отозвала лицензию на выпуск устройств с предустановленными сервисами Google и запретила Videostrong и её будущим аффилиатам делать сертифицированные Android-устройства. Кроме того, компания по суду отключила домены и серверы управления. Это, по оценке Google, отрезало ещё как минимум 10 миллионов устройств, к которым операторы успели распространить вредонос.

Что вредонос делал с приставкой

Бэкдор работал с системными правами и жил в разделе /oem/, а не среди обычных приложений. Через него операторы могли ставить приложения, отключать Google Play Protect, делать скриншоты, собирать данные об устройстве и аккаунтах, открывать удалённую консоль. Заработок шёл несколькими путями: накрутка рекламных кликов, кража данных и, главное, превращение вашего домашнего интернета в «резидентный прокси». Чужой трафик, в том числе сомнительный, выходил в сеть с вашего IP-адреса. Если через него шла чья-то атака или мошенничество, следы вели к вашему дому.

Обычное удаление приложений не помогает: вредонос сам восстанавливается из раздела /oem/. Сброс настроек до заводских тоже вряд ли спасёт, потому что заражена сама прошивка.

Как это прошло через сертификацию

Самое неприятное: часть таких приставок была сертифицирована Google. По словам компании, Videostrong применяла маскировку и загружала вредоносный код уже после первого включения, а в тестах вела себя чисто. Исследователи из Synthient нашли XCPE предустановленным на MECOOL KM9PRO Max, купленной в конце 2025 года. Теперь Google ужесточает проверку целостности прошивки при сертификации Android TV. Первые заражённые устройства появились ещё в 2024 году, а с августа 2026-го операторы стали заменять старый загрузчик более мелкими дропперами.

Что делать владельцу приставки

1. Проверьте производителя. Загляните в «Настройки → Система → О системе» и на наклейку на корпусе. Если там MECOOL или безымянный бокс из Китая без внятного сайта поддержки, относитесь к нему с подозрением. Список проверенных устройств собрали исследователи Synthient, ссылку на их отчёт можно найти в разборе Google.
2. Следите за странностями. Приставка сама грузит сеть, когда вы ничего не смотрите, появляются незнакомые приложения, в роутере видно постоянный трафик от её адреса.
3. Отключите от интернета, если сомневаетесь. Пока устройство офлайн, оно не может работать прокси и получать команды. Для просмотра с флешки или по локальной сети этого достаточно.
4. Ставьте чистую прошивку только от самого производителя, если он выпустил обновление. Единственное надёжное лечение — смена прошивки целиком. Будет ли Google или Videostrong помогать уже купленным устройствам, пока не сообщается.
5. Для телевизора берите приставку известного бренда с понятной поддержкой. Если нужно просто смотреть YouTube и кино, часто хватает и обычной Smart TV или стика от крупного производителя.

Если приставка просто стала медленной, а не подозрительной, сначала посмотрите наш разбор о том, как вернуть скорость Android TV без покупки новой приставки. Тормоза чаще связаны с памятью и рекламой, чем с ботнетом.

Подробности расследования опубликовали SecurityWeek и BleepingComputer. Google предупреждает, что рынок устойчив: при разгроме операторы быстро переходят на новые загрузчики и конкурирующие рекламные SDK. Значит, главная защита остаётся прежней: не покупать устройства, у которых нет прозрачной истории и обновлений.