Google rozbija botnet Androida na 1,3 mln urządzeń: Videostrong traci certyfikację
Google podjął kroki prawne, by odciąć infrastrukturę sterowania x.cpe — backdoora wbudowanego w firmware Androida, którego TrendAI naliczyła na 1 472 554 urządzeniach między 3 czerwca a 1 października 2026 roku. Liczba obejmuje 206 modeli, w większości przystawki Android TV, i Google opisuje ją jako dolną granicę, nie pułap. W swoim raporcie firma podaje, że odcięcie serwerów afiliantów botnetu powinno odebrać im też dostęp do co najmniej 10 mln kolejnych zainfekowanych urządzeń, bo te same grupy przestępcze rozprowadzają złośliwe oprogramowanie innymi kanałami.
Co potrafił backdoor
x.cpe, śledzony też jako com.oemservice, działa jako aplikacja systemowa z uprawnieniami android.uid.system. Jest wbudowany w obraz firmware, a nie instalowany później, więc reset fabryczny go nie usuwa: pakiet jest odtwarzany z partycji /oem/ przy ponownym uruchomieniu. Według zespołu threat intelligence Google implant wyłącza weryfikację aplikacji w Play Protect, ustawiając package_verifier_user_consent na -1, a następnie otwiera trwały kanał MQTT do operatorów. Analiza TrendAI, streszczona w The Hacker News, opisuje dwuetapową konstrukcję, w której żądanie HTTP bootstrap podaje urządzeniu adres serwera poleceń.- Cicha instalacja i usuwanie aplikacji
- Dowolne wykonywanie poleceń powłoki, w tym reverse shell
- Przechwytywanie ekranu i wstrzykiwanie naciśnięć klawiszy
- Zbieranie danych kont, list aplikacji i logów systemowych
- Rozpoznanie lokalnej podsieci
- Ponowna instalacja po restarcie z partycji firmware
Produktem były proxy rezydencjalne
Większość modułów monetyzacji zamieniała zainfekowany sprzęt w węzły wyjściowe proxy rezydencjalnych albo sprzedawała niewykorzystane pasmo. Raport Google wymienia SDK proxy, m.in. Linkfog, Jaguar, AppSalt, BWM, GaGaNode, NetNut i Traffmonetizer, i zauważa, że jedno urządzenie mogło uruchamiać nawet trzy naraz. Inne moduły — Spirit, Moyu, Bird, Fission i HiddenView — generowały fałszywe odsłony reklam. Sieć proxy rezydencjalnych jest tyle warta, ile różnorodność i reputacja jej adresów wyjściowych, a urządzenia konsumenckie w domach dają dokładnie to: adresy wyglądające jak zwykli abonenci szerokopasmowi, a nie zakresy z centrów danych. Kupujący taką przepustowość kierują przez nią scraping, credential stuffing i oszustwa, które inaczej zostałyby zablokowane. Gdy węzłem wyjściowym jest przystawka TV w czyimś salonie, ruch przypisuje się łączu tego gospodarstwa.Producent, który celowo zaraża swoich użytkowników złośliwym oprogramowaniem, w niedopuszczalny sposób narusza zaufanie i stwarza dla nich poważne ryzyko. - GoogleKto traktuje tożsamość sieciową jako kwestię operacyjną, powinien wyciągnąć wniosek, że zainfekowane urządzenie może puścić w twoje łącze ruch, którego nie wygenerowałeś. To samo dotyczy sprzętu, z którego łączysz się z Tor lub zarządzasz czymś wrażliwym; ogólną listę kontrolną zebraliśmy w poradniku o bezpieczeństwie urządzeń przed Tor.
Atrybucja: podpisany dokument i wspólny adres IP
Google twierdzi z wysoką pewnością, że Videostrong Technology z Shenzhen celowo opracował, wdrożył i obsługiwał backdoora oraz sprzedawał dostęp przestępczym afiliantom. Dowody obejmują dokument podpisany przez dyrektora ds. R&D Videostrong znaleziony na serwerze botnetu, domenę Videostrong wskazującą na ten sam adres IP co panel sterowania operatorów, konto GitHub o nazwie yf-videostrong służące do hostowania wydań oraz x.cpe przekazujący ustawienia serwera poleceń innym aplikacjom Videostrong, takim jak YokaTV Player. Charley Snyder z Google powiedział CyberScoop, że operatorzy stale zmieniali konfiguracje, by omijać wykrywanie przed i po premierze. Synthient, jeden z partnerów operacji, doszedł do tego samego wniosku niezależnie. Firma kupiła detaliczny egzemplarz MECOOL KM9PRO Max i znalazła backdoora preinstalowanego, a następnie opublikowała listę 182 nazw modeli zaobserwowanych w kampanii, z zastrzeżeniem, że sama nazwa modelu nie dowodzi infekcji konkretnego urządzenia. Plume, dostawca oprogramowania do zarządzania routerami i urządzeniami, znalazł ponad tuzin typów urządzeń rozmawiających z serwerem sterowania botnetu, głównie marki MECOOL.Operacja i to, czego nie naprawia
Działanie, przeprowadzone z japońską Agencją Policji Narodowej i wsparte przez Lumen, HUMAN Security, Plume, Synthient i TrendAI, wyłączyło domeny i serwery sterowania Videostrong oraz domeny sterowania ponad tuzina rodzin złośliwego oprogramowania ładowanych przez backdoora. Google zakazał też Videostrong i przyszłym spółkom zależnym produkcji i sprzedaży certyfikowanych urządzeń z Androidem oraz dostarczania oprogramowania innym certyfikowanym producentom. The Register podaje, że firma zerwała współpracę z dostawcą; Videostrong nie odpowiedział na prośby o komentarz. Google twierdzi, że zaostrzył weryfikację integralności firmware w certyfikowanych urządzeniach Android TV i zmienił proces przeglądu, ale problem strukturalny pozostaje. Certyfikacja sprawdza urządzenie przed wysyłką, a złośliwy kod ładował się po pierwszym uruchomieniu — dokładnie w oknie, którego te testy nie obejmują. Urządzenia już w terenie zachowują implant do czasu wymiany firmware, a zdaniem TrendAI naprawa wymaga działania producenta, ochrony platformy albo wymiany sprzętu.Praktyczne kroki dla właścicieli i kupujących
- Traktuj każdy model z listy opublikowanej przez Synthient jako wysokie ryzyko; odizoluj go od zaufanych sieci lub wymień.
- Zablokuj udokumentowane domeny bootstrap i MQTT na routerze lub resolverze DNS.
- Umieść telewizory, przystawki i urządzenia smart w osobnym VLAN-ie lub sieci gościnnej bez trasy do interfejsów zarządzania.
- Podchodź sceptycznie do aplikacji płacących za niewykorzystane pasmo lub udostępnianie internetu; Google wskazuje cichą rejestrację bez zgody jako najczęstszą drogę do sieci proxy.
- Utrzymuj Play Protect włączony i wybieraj urządzenia producentów z listy certyfikowanych partnerów Android TV.