ТВ-приставка з бекдором із коробки: що відомо про ботнет XCPE

Дешева Android-приставка для телевізора може виявитися зараженою ще в магазинній коробці. Google підтвердила це на великому прикладі: компанія розібрала ботнет XCPE, до якого входили понад 1,3 мільйона пристроїв, переважно ТВ-боксів. Шкідливий код закладив сам виробник, і власники не могли цього помітити.

Хто стоїть за ботнетом

За даними Google Threat Intelligence Group, XCPE створила й обслуговувала китайська компанія Videostrong Technology із Шеньчженя. Вона випускає приставки під власною маркою MECOOL і робить пристрої для інших брендів. У Google з високою впевненістю заявляють, що бекдор вбудували навмисно, заради заробітку: Videostrong продавала доступ партнерам, а ті завантажували на приставки власні модулі.

Google розірвала стосунки з виробником, відкликала ліцензію на випуск пристроїв із попередньо встановленими сервісами Google і заборонила Videostrong та її майбутнім афіліатам робити сертифіковані Android-пристрої. Крім того, компанія через суд вимкнула домени й сервери керування. За оцінкою Google, це відрізало ще щонайменше 10 мільйонів пристроїв, на які оператори встигли поширити шкідливий код.

Що шкідливий код робив із приставкою

Бекдор працював із системними правами й жив у розділі /oem/, а не серед звичайних застосунків. Через нього оператори могли встановлювати застосунки, вимикати Google Play Protect, робити знімки екрана, збирати дані про пристрій та облікові записи, відкривати віддалену консоль. Заробіток ішов кількома шляхами: накрутка рекламних кліків, крадіжка даних і, найголовніше, перетворення вашого домашнього інтернету на «резидентний проксі». Чужий трафік, зокрема сумнівний, виходив у мережу з вашої IP-адреси. Якщо через нього йшла чиясь атака чи шахрайство, сліди вели до вашого дому.

Звичайне видалення застосунків не допомагає: шкідливий код сам відновлюється з розділу /oem/. Скидання до заводських налаштувань теж навряд чи врятує, бо заражена сама прошивка.

Як це пройшло крізь сертифікацію

Найприкріше: частина таких приставок була сертифікована Google. За словами компанії, Videostrong застосовувала маскування й завантажувала шкідливий код уже після першого вмикання, а під час тестів поводилася чисто. Дослідники із Synthient знайшли XCPE попередньо встановленим на MECOOL KM9PRO Max, купленій наприкінці 2025 року. Тепер Google посилює перевірку цілісності прошивки під час сертифікації Android TV. Перші заражені пристрої з'явилися ще 2024 року, а з серпня 2026-го оператори почали замінювати старий завантажувач меншими дропперами.

Що робити власникові приставки

1. Перевірте виробника. Зазирніть у «Налаштування → Система → Про систему» і на наліпку на корпусі. Якщо там MECOOL або безіменний бокс із Китаю без зрозумілого сайту підтримки, ставтеся до нього з підозрою. Список перевірених пристроїв зібрали дослідники Synthient, посилання на їхній звіт можна знайти в розборі Google.
2. Стежте за дивацтвами. Приставка сама вантажить мережу, коли ви нічого не дивитеся, з'являються незнайомі застосунки, на роутері видно постійний трафік від її адреси.
3. Відключіть від інтернету, якщо сумніваєтеся. Поки пристрій офлайн, він не може працювати як проксі й отримувати команди. Для перегляду з флешки чи локальною мережею цього досить.
4. Ставте чисту прошивку лише від самого виробника, якщо він випустив оновлення. Єдине надійне лікування — заміна прошивки повністю. Чи допомагатимуть Google або Videostrong уже купленим пристроям, поки не повідомляється.
5. Для телевізора беріть приставку відомого бренду зі зрозумілою підтримкою. Якщо треба просто дивитися YouTube і кіно, часто вистачає й звичайного Smart TV чи стіка від великого виробника.

Якщо приставка просто стала повільною, а не підозрілою, спершу гляньте наш розбір про те, як повернути швидкість Android TV без купівлі нової приставки. Гальма частіше пов'язані з пам'яттю та рекламою, ніж із ботнетом.

Подробиці розслідування опублікували SecurityWeek і BleepingComputer. Google попереджає, що ринок стійкий: після розгрому оператори швидко переходять на нові завантажувачі та конкурентні рекламні SDK. Тож головний захист лишається незмінним: не купувати пристрої, що не мають прозорої історії й оновлень.