Google и партньори от индустрията са разрушили инфраструктурата на XCPE – ботнет, съставен от над 1,3 млн. Android TV устройства. Компанията обвинява китайския производител Videostrong Technology Co. в умишлено внедряване на постоянна задна врата още по време на производството, с цел монетизиране на компрометираните устройства чрез киберпрестъпни дейности.

Зловредният код е внедряван още във фърмуера

За разлика от традиционните ботнети, които заразяват устройства чрез експлоатиране на уязвимости или подвеждане на потребителите, XCPE е бил интегриран директно във фърмуера на устройствата по време на производството.

Според Google Threat Intelligence Group (GTIG) компанията Videostrong е разработвала и разпространявала зловредния код в различни марки и модели устройства в продължение на години. Архитектурата му е била постоянно променяна, за да затруднява откриването и да обслужва различни криминални партньори.

Google заявява, че с висока степен на увереност оценява задната врата и ботнета като умишлено разработени, внедрени и управлявани от Videostrong с цел финансови облаги.

Основните компоненти на зловредния код са проследявани като x.cpe и com.oemservice. Те работят с привилегии на системно ниво в Android, което осигурява широк контрол върху заразените устройства.

Ботнетът предоставя платформа за различни киберпрестъпни операции

XCPE използва модулна архитектура, която отделя функциите на задната врата от компонентите за генериране на приходи. Така устройствата могат да бъдат използвани от различни криминални оператори за отделни дейности.

След стартиране заразеното устройство се свързва с командно-контролен сървър (C2) в домейна anyevonline[.]com, откъдето получава информация за MQTT брокер и необходимите идентификационни данни. Брокерът, хостван на mqtt.szbboys[.]com, позволява изпращането на команди и инсталирането на допълнителен зловреден софтуер.

Операторите могат дистанционно да:

• изтеглят и инсталират Android приложения без знанието на потребителя;
• изключват Google Play Protect;
• изпълняват shell команди и скриптове със системни привилегии;
• заснемат екрана и въвеждат клавишни комбинации;
• събират информация за акаунти, устройства, приложения и системни логове;
• извършват мрежово разузнаване и създават обратни shell връзки.

Заразените устройства са използвани и за рекламни измами – генериране на рекламни показвания, зареждане на скрити уебстраници и кликване върху реклами.

Друг източник на приходи е превръщането им в жилищни прокси сървъри (residential proxies). Това позволява чужд интернет трафик да преминава през реалните IP адреси на устройствата, без собствениците им да знаят или да са дали съгласие.

Google посочва модули, свързани с услуги като Linkfog, AppSalt/Honeygain, GaGaNode, NetNut и Traffmonetizer. Освен това ботнетът е инсталирал допълнителни задни врати, включително Moyu, Spirit и Bird.

Google прекъсна и инфраструктурата на други ботнети

В рамките на операцията Google е изключила C2 сървъри, използвани от повече от дузина свързани семейства зловреден софтуер.

Според компанията това е прекъснало достъпа до най-малко още 10 млн. компрометирани устройства. Те са били заразени чрез други механизми, а не чрез XCPE, и включват телевизионни приставки, караоке системи и оборудване за телемедицински услуги. Google уточнява, че не всички тези устройства работят с Android.

Операцията е проведена със съдействието на Националната полицейска агенция на Япония и компаниите Lumen, HUMAN Security, Plume, Synthient и TrendAI.

Google също така е прекратила отношенията си с Videostrong, отнела е лиценза ѝ за производство на Android TV устройства с предварително инсталирани приложения и услуги на Google и е забранила на компанията и бъдещите ѝ свързани структури да произвеждат сертифицирани Android устройства или да доставят софтуер на сертифицирани производители.

Разследването свързва зловредния код с Videostrong

В отделно изследване Synthient описва как е проследила XCPE до Videostrong. Зловредният софтуер е открит предварително инсталиран на Android TV устройството MECOOL KM9PRO Max, закупено в края на 2025 г.

По време на разследването изследователите открили публично достъпна директория на сървъра file.anyevonline[.]com, съдържаща задни врати, използвани от операторите. В нея имало и PDF документ, свързан с Оуен Као, директор на научноизследователската и развойната дейност във Videostrong.

Допълнителни доказателства включват:

• домейнът videostrong[.]cn е сочил към същия IP адрес като C2 сървъра mqtt.anyevonline[.]com;
• сървърът е позволявал управление на компрометирани устройства, изпращане на команди и инсталиране на приложения;
• множество имейл адреси на служители на Videostrong са били използвани за подписване на задните врати.

Google заявява, че доказателствата не сочат към единичен нелоялен служител или случайна грешка при разработката. Компанията също така е променила процедурата си за сертифициране, след като установила, че Videostrong е използвала техники за замъгляване на кода и зареждане на злонамерени компоненти след първоначалното стартиране на устройствата.

Премахването на ботнета не означава автоматично почистване на устройствата

Google предупреждава, че прекъсването на инфраструктурата на XCPE не премахва зловредния софтуер от вече заразените устройства.

Задната врата може да се възстанови автоматично от OEM дяла /oem/, дори след опит за изтриването ѝ. Това означава, че потребителите не могат да разчитат единствено на премахване на отделен файл или приложение.

Според предоставената информация за отстраняване на инфекцията е необходимо инсталиране на чист фърмуер. Като предпазна мярка устройствата могат да бъдат изключени от интернет, за да се предотврати последваща злонамерена активност.

Случаят с XCPE показва специфичен риск за веригата на доставки: когато задната врата е внедрена още при производството, потребителят може да получи компрометирано устройство, без да извършва никакви действия, които обичайно водят до инфекция.

Това поставя под въпрос не само сигурността на отделните устройства, но и процесите за сертифициране, контрол на фърмуера и проверка на производителите. Дори прекъсването на командно-контролната инфраструктура не е достатъчно, ако зловредният код остава в системния образ и може да се възстанови.