Google обезвредил ботнет на 1,3 млн Android-устройств: Videostrong лишён сертификации
Google через суд добился отключения инфраструктуры управления x.cpe — бэкдора, предустановленного в прошивку Android, который TrendAI насчитала на 1 472 554 устройствах в период с 3 июня по 1 октября 2026 года. Цифра охватывает 206 моделей, в основном ТВ-приставки Android TV, и Google называет её нижней границей, а не потолком. В собственной публикации компания заявляет, что отключение серверов партнёрских групп ботнета должно также лишить их доступа как минимум к 10 млн других скомпрометированных устройств, поскольку те же преступные группы распространяют вредоносное ПО и другими путями.
Что умел бэкдор
x.cpe, также известный как com.oemservice, работает как системное приложение с привилегиями android.uid.system. Он вшит в образ прошивки, а не устанавливается позже, поэтому сброс к заводским настройкам его не удаляет: пакет восстанавливается из раздела /oem/ при перезагрузке. По данным группы threat intelligence Google, имплант отключает проверку приложений Play Protect, устанавливая package_verifier_user_consent в -1, а затем открывает постоянный канал MQTT к операторам. Анализ TrendAI, изложенный в The Hacker News, описывает двухступенчатую схему, в которой HTTP-запрос начальной загрузки сообщает устройству адрес командного сервера.- Тихая установка и удаление приложений
- Произвольное выполнение shell-команд, включая обратные оболочки
- Захват экрана и инъекция нажатий клавиш
- Сбор данных аккаунтов, списков приложений и системных журналов
- Разведка локальной подсети
- Переустановка после перезагрузки из раздела прошивки
Продуктом были резидентные прокси
Большинство модулей монетизации превращали заражённое железо в выходные узлы резидентных прокси или продавали свободную полосу пропускания. В отчёте Google названы прокси-SDK Linkfog, Jaguar, AppSalt, BWM, GaGaNode, NetNut и Traffmonetizer, причём на одном устройстве могло работать до трёх сразу. Другие модули — Spirit, Moyu, Bird, Fission и HiddenView — генерировали фальшивые показы рекламы. Сеть резидентных прокси ценна ровно настолько, насколько разнообразны и чисты её выходные IP, и потребительские устройства в домах дают именно это: адреса, похожие на обычных абонентов широкополосного доступа, а не на диапазоны дата-центров. Покупатели такой ёмкости направляют через неё парсинг, credential stuffing и мошеннический трафик, который иначе был бы заблокирован. Если выходной узел — телевизионная приставка в чьей-то гостиной, трафик приписывается подключению этого домохозяйства.Производитель, который намеренно заражает своих пользователей вредоносным ПО, непозволительно нарушает доверие и создаёт серьёзный риск для этих людей. - GoogleТем, кто относится к сетевой идентичности как к операционной задаче, стоит запомнить: скомпрометированный бытовой прибор может пустить в вашу линию трафик, которого вы не создавали. То же рассуждение верно для железа, с которого вы выходите в Tor или управляете чем-то чувствительным; общий чек-лист мы собрали в материале о безопасности устройств перед Tor.
Атрибуция: подписанный документ и общий IP
Google заявляет о высокой уверенности, что Videostrong Technology из Шэньчжэня намеренно разработала, развернула и эксплуатировала бэкдор и продавала доступ преступным партнёрам. Среди доказательств — документ с подписью директора по R&D Videostrong, найденный на сервере ботнета, домен Videostrong, указывающий на тот же IP, что и панель управления операторов, аккаунт GitHub yf-videostrong для размещения сборок, а также передача x.cpe настроек командного сервера другим приложениям Videostrong, например YokaTV Player. Чарли Снайдер из Google сообщил CyberScoop, что операторы постоянно меняли конфигурации, чтобы обходить обнаружение до и после запуска. Synthient, один из партнёров по операции, пришла к тому же выводу независимо. Компания купила розничный MECOOL KM9PRO Max и обнаружила бэкдор предустановленным, а затем опубликовала список из 182 названий моделей, замеченных в кампании, с оговоркой, что одно название модели не доказывает заражение конкретного экземпляра. Plume, поставщик ПО для управления роутерами и устройствами, нашла более десятка типов устройств, обращавшихся к серверу управления ботнета, в основном под маркой MECOOL.Операция и то, что она не исправила
Мероприятие, проведённое совместно с Национальным полицейским агентством Японии при поддержке Lumen, HUMAN Security, Plume, Synthient и TrendAI, отключило домены и серверы управления Videostrong, а также домены управления более десятка семейств вредоносного ПО, загружавшихся через бэкдор. Google также запретила Videostrong и её будущим дочерним структурам выпускать и продавать сертифицированные Android-устройства и поставлять ПО другим сертифицированным производителям. The Register сообщает, что компания разорвала отношения с вендором; Videostrong не ответила на запросы о комментарии. Google говорит, что усилила проверку целостности прошивки для сертифицированных устройств Android TV и изменила процесс ревью, но структурная проблема осталась. Сертификация проверяет устройство до отгрузки, а вредоносный код загружался после первой загрузки — ровно в том окне, которое эти тесты не покрывают. Уже развёрнутые устройства сохраняют имплант, пока не будет заменена прошивка, и, по позиции TrendAI, для устранения нужны действия производителя, защита платформы или замена железа.Практические шаги для владельцев и покупателей
- Считайте любую модель из опубликованного Synthient списка зоной высокого риска; изолируйте её от доверенных сетей или замените.
- Заблокируйте задокументированные домены начальной загрузки и MQTT на роутере или DNS-резолвере.
- Вынесите телевизоры, приставки и умные приборы в отдельный VLAN или гостевую сеть без маршрута к интерфейсам управления.
- Относитесь с подозрением к приложениям, которые платят за неиспользуемую полосу или доступ в интернет; Google называет тихую регистрацию без согласия самым частым путём в прокси-сети.
- Держите Play Protect включённым и предпочитайте устройства производителей из списка сертифицированных партнёров Android TV.