Google rozbiło botnet XCPE: 1,3 mln przystawek Smart TV z Androidem mogło być zainfekowanych

Google Threat Intelligence Group poinformowało o rozbiciu botnetu XCPE. Według polskiego serwisu Antyweb, który opisuje komunikat Google, akcję przeprowadzono we współpracy z japońską policją i firmami z branży bezpieczeństwa. Do sieci należało około 1,3 mln przystawek Smart TV z Androidem.

Na czym polegał problem

Z opisu Antywebu wynika, że szkodliwe oprogramowanie miało aktywować się zaraz po pierwszym uruchomieniu urządzenia, bez żadnych działań użytkownika. Ten sam kod znaleziono też w sprzęcie do karaoke, systemach wyświetlających reklamy i urządzeniach telemedycznych.

Jako przykład analizowano przystawkę MECOOL KM9PRO Max, którą firma Synthient kupiła w 2025 roku. MECOOL to marka należąca do producenta Videostrong. Wbudowany program wysyłał dane urządzenia i czekał na polecenia z serwera. Synthient ustaliło, że ten sam adres IP wskazywał Videostrong i panel administracyjny botnetu. Na tej podstawie firma uznała, że za instalację kodu odpowiada sam producent.

Antyweb pisze, że Videostrong miał wykorzystać lukę w testach certyfikacyjnych: kod maskowano tak, by przeszedł kontrolę, a właściwy ładunek włączał się dopiero po uruchomieniu urządzenia. Przystawka potrafiła też wyłączyć sprawdzanie aplikacji przez Google Play Protect i instalować kolejne programy bez wiedzy właściciela. Operatorzy mogli wykonywać zrzuty ekranu, symulować naciśnięcia klawiszy i zbierać dane o koncie oraz urządzeniach.

Jak zarabiano na urządzeniach

Google podaje, że Videostrong sprzedawał partnerom dostęp do przejętych urządzeń. Wykorzystywano je do generowania fałszywych wyświetleń reklam i do masowych instalacji aplikacji, które miały zawyżać statystyki w Google Play. Urządzenia służyły też jako serwery proxy: cudzy ruch internetowy przechodził przez domowe łącze właściciela przystawki, a z zewnątrz wyglądał jak zwykłe połączenie z mieszkania.

Co zrobiło Google

Google podjęło kroki prawne wobec domen i serwerów obsługujących XCPE oraz ponad tuzina innych rodzin złośliwego oprogramowania. Według szacunków wyłączenie tej infrastruktury może odciąć przestępców od co najmniej 10 mln dodatkowych urządzeń. Firma zerwała też współpracę z Videostrong. Dotyczy to produkcji i sprzedaży certyfikowanych urządzeń z Androidem, także przez przyszłe spółki zależne i powiązane z MECOOL i Videostrong.

Co oznacza to dla właścicieli przystawek

Botnet jest obecnie nieczynny, ale Antyweb zaznacza, że kopia XCPE nadal znajduje się w oprogramowaniu urządzeń. Po usunięciu program potrafił odtworzyć się z jednej z partycji przy ponownym uruchomieniu. Najbezpieczniejszą opcją jest według serwisu trwałe odłączenie takiej przystawki od sieci.

Co to oznacza dla Polaków w UK

Tanie przystawki z Androidem są sprzedawane w wielu krajach, więc osoby korzystające z urządzeń marki MECOOL powinny sprawdzić, czy mają taki model. Źródła nie podają, czy sprzedawano je w Wielkiej Brytanii, ani które modele są dotknięte. Jeśli ktoś ma przystawkę tej marki, rozsądnie jest odłączyć ją od domowej sieci do czasu wyjaśnienia sprawy.