Google знешкодив ботнет на 1,3 млн Android-пристроїв: Videostrong позбавлено сертифікації
Google через суд домігся відключення інфраструктури керування x.cpe — бекдору, попередньо встановленого в прошивку Android, який TrendAI нарахувала на 1 472 554 пристроях у період з 3 червня по 1 жовтня 2026 року. Цифра охоплює 206 моделей, переважно ТВ-приставки Android TV, і Google називає її нижньою межею, а не стелею. У власному звіті компанія заявляє, що відключення серверів партнерських груп ботнету має також відрізати їх від щонайменше 10 млн інших скомпрометованих пристроїв, адже ті самі злочинні групи поширюють шкідливе ПЗ й іншими каналами.
Що вмів бекдор
x.cpe, також відомий як com.oemservice, працює як системний застосунок із привілеями android.uid.system. Він вшитий в образ прошивки, а не встановлюється пізніше, тому скидання до заводських налаштувань його не видаляє: пакет відновлюється з розділу /oem/ під час перезавантаження. За даними групи threat intelligence Google, імплант вимикає перевірку застосунків Play Protect, встановлюючи package_verifier_user_consent у -1, а потім відкриває постійний канал MQTT до операторів. Аналіз TrendAI, викладений у The Hacker News, описує двоступеневу схему, у якій HTTP-запит початкового завантаження повідомляє пристрою адресу командного сервера.- Тихе встановлення та видалення застосунків
- Довільне виконання shell-команд, зокрема зворотних оболонок
- Захоплення екрана та ін'єкція натискань клавіш
- Збір даних акаунтів, списків застосунків і системних журналів
- Розвідка локальної підмережі
- Перевстановлення після перезавантаження з розділу прошивки
Продуктом були резидентні проксі
Більшість модулів монетизації перетворювали заражене залізо на вихідні вузли резидентних проксі або продавали вільну пропускну здатність. У звіті Google названо проксі-SDK Linkfog, Jaguar, AppSalt, BWM, GaGaNode, NetNut і Traffmonetizer, причому на одному пристрої могло працювати до трьох одразу. Інші модулі — Spirit, Moyu, Bird, Fission і HiddenView — генерували фальшиві покази реклами. Мережа резидентних проксі цінна рівно настільки, наскільки різноманітні та чисті її вихідні IP, і споживчі пристрої в домівках дають саме це: адреси, схожі на звичайних абонентів широкосмугового доступу, а не на діапазони дата-центрів. Покупці такої ємності спрямовують через неї парсинг, credential stuffing і шахрайський трафік, який інакше було б заблоковано. Якщо вихідний вузол — телевізійна приставка у чиїйсь вітальні, трафік приписується підключенню цього домогосподарства.Виробник, який навмисно заражає своїх користувачів шкідливим ПЗ, неприпустимо порушує довіру і створює серйозний ризик для цих людей. - GoogleТим, хто ставиться до мережевої ідентичності як до операційної задачі, варто запам'ятати: скомпрометований побутовий прилад може пустити у вашу лінію трафік, якого ви не створювали. Те саме стосується заліза, з якого ви виходите в Tor або керуєте чимось чутливим; загальний чек-лист ми зібрали в матеріалі про безпеку пристроїв перед Tor.
Атрибуція: підписаний документ і спільний IP
Google заявляє про високу впевненість, що Videostrong Technology зі Шеньчженя навмисно розробила, розгорнула та експлуатувала бекдор і продавала доступ злочинним партнерам. Серед доказів — документ із підписом директора з R&D Videostrong, знайдений на сервері ботнету, домен Videostrong, що вказує на той самий IP, що й панель керування операторів, акаунт GitHub yf-videostrong для розміщення збірок, а також передавання x.cpe налаштувань командного сервера іншим застосункам Videostrong, наприклад YokaTV Player. Чарлі Снайдер із Google сказав CyberScoop, що оператори постійно змінювали конфігурації, аби обходити виявлення до і після запуску. Synthient, один із партнерів операції, дійшла того самого висновку незалежно. Компанія купила роздрібний MECOOL KM9PRO Max і виявила бекдор попередньо встановленим, а потім опублікувала список із 182 назв моделей, помічених у кампанії, із застереженням, що сама назва моделі не доводить зараження конкретного примірника. Plume, постачальник ПЗ для керування роутерами та пристроями, знайшла понад десяток типів пристроїв, що зверталися до сервера керування ботнету, переважно під маркою MECOOL.Операція і те, що вона не виправила
Захід, проведений разом із Національним поліцейським агентством Японії та підтриманий Lumen, HUMAN Security, Plume, Synthient і TrendAI, відключив домени й сервери керування Videostrong, а також домени керування понад десятка родин шкідливого ПЗ, що завантажувалися через бекдор. Google також заборонила Videostrong і майбутнім дочірнім структурам випускати та продавати сертифіковані Android-пристрої й постачати ПЗ іншим сертифікованим виробникам. The Register повідомляє, що компанія розірвала стосунки з постачальником; Videostrong не відповіла на запити про коментар. Google каже, що посилила перевірку цілісності прошивки для сертифікованих пристроїв Android TV і змінила процес рев'ю, але структурна проблема лишилася. Сертифікація перевіряє пристрій до відвантаження, а шкідливий код завантажувався після першого запуску — саме в тому вікні, яке ці тести не покривають. Уже розгорнуті пристрої зберігають імплант, доки не буде замінено прошивку, і, за позицією TrendAI, для виправлення потрібні дії виробника, захист платформи або заміна заліза.Практичні кроки для власників і покупців
- Вважайте будь-яку модель зі списку, опублікованого Synthient, зоною високого ризику; ізолюйте її від довірених мереж або замініть.
- Заблокуйте задокументовані домени початкового завантаження та MQTT на роутері або DNS-резолвері.
- Винесіть телевізори, приставки та розумні прилади в окремий VLAN або гостьову мережу без маршруту до інтерфейсів керування.
- Ставтеся з підозрою до застосунків, які платять за невикористану смугу чи доступ в інтернет; Google називає тиху реєстрацію без згоди найчастішим шляхом у проксі-мережі.
- Тримайте Play Protect увімкненим і надавайте перевагу пристроям виробників зі списку сертифікованих партнерів Android TV.