Google заблокировала ботнет XCPE / Более 1,3 миллиона ТВ-приставок Videostrong были заражены ещё на заводе

Google заблокировала инфраструктуру ботнета XCPE, который контролировал более 1,3 миллиона устройств на Android, включая ТВ-приставки, произведённые компанией Videostrong Technology. По данным Google Threat Intelligence Group, вредоносное ПО устанавливалось до того, как устройства попадали к покупателям, и могло активироваться после первого включения.

В отличие от обычных заражений, пользователям не нужно было скачивать подозрительные приложения или посещать опасные сайты. Вредоносный код был интегрирован в программное обеспечение устройств, а Google утверждает, что производитель мог создать и администрировать эту систему, впоследствии продавая доступ операторам, участвовавшим в незаконной деятельности.

XCPE использовал интернет-соединения владельцев для перенаправления трафика, генерации ложных рекламных просмотров и установки других программ. Вредоносное ПО могло выполнять команды удалённо, делать снимки экрана, имитировать нажатия клавиш, собирать информацию об аккаунтах и приложениях и отключать Google Play Protect. Начиная с 2024 года механизм был изменён для обхода обнаружения, а удаления приложения было недостаточно, поскольку после перезагрузки оно устанавливалось снова.

Google совместно с компаниями, занимающимися кибербезопасностью, и правоохранительными органами заблокировала серверы управления и прекратила сотрудничество с Videostrong. Эти меры могут также повлиять на доступ как минимум к 10 миллионам устройств, скомпрометированных через связанные сети. Компания рекомендует владельцам отключить подозрительные устройства от интернета и запросить у производителя безопасное программное обеспечение либо замену устройства.