Около 1,3 млн. Android устройства, включително популярните телевизионни приставки Mecool KM2, KM2 Plus, KM6, KM7 и KM9 Pro, се оказаха част от ботнета XCPE. Зловредният софтуер е бил вграден директно във фърмуера още при тяхното производство. Според данни на Google зад това стои китайската компания Videostrong Technology, която не само е разпространявала заразените устройства, но и е продавала достъп до тях на други киберпрестъпници. Ботнетът е действал в повече от 200 държави.

Заразените медийни плейъри могат да изпълняват команди на трети лица, докато собствениците гледат филми или използват други приложения. Устройствата се превръщат във възли на резидентни прокси сървъри: чрез домашната интернет връзка и IP адреса на потребителя престъпниците пренасочват чужд трафик. Други злонамерени модули са задействали приставките за рекламна измама чрез симулиране на прегледи и преходи с цел незаконна печалба. Освен това устройствата са изтегляли нов злонамерен софтуер.

Механизъм на инфекцията и заобикаляне на сертификацията

Операторите на ботнета са имали възможност дистанционно да изпълняват системни команди, да правят снимки на екрана, да симулират натискания на клавиши и да събират информация за устройството и домашната мрежа. Официалната сертификация от Google не е помогнала за защитата на стрийминг устройствата: Videostrong е маскирала злонамерения код, за да заобиколи проверките, и го е активирала едва след първото стартиране от потребителя.

От Google посочват, че компанията умишлено е разпространявала зловредния софтуер в продължение на няколко години. Производителят също така е продавал достъп до заразените стрийминг устройства на други престъпни групи за провеждане на кибератаки и измамни операции.

Сред засегнатите модели Google и нейните партньори откриват различни марки Android стрийминг устройства. Сред тях са Mecool KM2, KM2 Plus, KM6, KM7 и KM9 Pro. Освен в телевизионните приставки, зловредният софтуер е открит и в устройства за телемедицина, караоке системи и цифрови рекламни дисплеи.

Разследването на специалистите от Synthient помага за свързването на бекдора XCPE с компанията Videostrong. В края на 2025 г. те закупуват приставка Mecool KM9PRO Max с Android TV и откриват в нея предварително инсталирания зловреден код.

Още по темата:
Краят на хардуерните задни врати: Новите мерки за сигурност при чиповете

Улики, свързващи производителя с ботнета

В хода на разследването е открит каталог с други задни врати, достъпен в отворения интернет. В една от папките се е намирал PDF файл, чийто автор е посочен като Оуен Цао — директор по изследвания и разработки във Videostrong.

Домейнът на Videostrong е бил свързан със същия IP адрес, използван и от сървъра за управление на бекдора. За цифровия подпис на зловредните програми са използвани имейл адреси на компанията. Тези данни сочат, че става дума за целенасочени действия на компанията, а не за случайна грешка или самостоятелни прояви на отделен служител.

Реакцията на Google и мерки за защита

Google, съвместно с Националната полицейска агенция на Япония и други партньори, прекъсна работата на командната инфраструктура и блокира злонамерените модули. Блокирането на управляващите домейни е лишило от достъп до тях поне 10 милиона други компрометирани устройства. Google прекрати отношенията си с Videostrong и наложи пълна забрана на компанията и нейните филиали да произвеждат устройства със сертифицирани услуги на Google.

Дори след спирането на сървърите зловредният софтуер остава на засегнатите медийни плейъри. Основният му компонент е вграден във фърмуера и се възстановява след рестартиране, дори ако бъде изтрит от оперативната памет. Поради това стандартното възстановяване на фабричните настройки не премахва заплахата — необходимо е преинсталиране с чист и сигурен фърмуер. Google съветва да се използват устройства от проверени производители и да не се инсталират приложения извън Google Play Protect.