Миллионы телевизионных приставок поступали в продажу уже с вредоносным кодом, который тайно передавал управление посторонним. Google раскрыла деятельность ботнета XCPE, объединившего более 1,3 млн Android-устройств. Совместно с партнёрами компания нарушила работу преступной инфраструктуры и назвала предполагаемого организатора масштабной схемы.
Главным подозреваемым стала Videostrong Technology, производитель оборудования и прошивок для Android. Google с высокой уверенностью считает, что компания намеренно встраивала бэкдор в устройства разных брендов и продавала доступ к заражённой технике сторонним операторам вредоносного ПО. Схема действовала несколько лет и позволяла зарабатывать на приставках даже после продажи покупателям.
Вредоносный компонент x.cpe находился непосредственно в системном разделе прошивки и работал с привилегиями Android. При попытке удаления программа автоматически восстанавливалась из раздела /oem/ после перезагрузки. Производитель также применял маскировку, позволяющую проходить проверки Google и загружать вредоносные компоненты после первого включения устройства.
После запуска бэкдор связывался с управляющими серверами по HTTP, получал настройки и открывал постоянный канал MQTT. Операторы могли незаметно устанавливать приложения, выполнять системные команды, снимать изображения с экрана и собирать сведения об устройстве. Google также обнаружила кражу данных учётных записей и механизм отключения Google Play Protect для обхода проверки приложений.
Основной доход приносили дополнительные вредоносные модули. Одни имитировали просмотры рекламы, другие превращали домашние подключения в платные прокси-серверы для передачи чужого трафика. Подобная схема уже встречалась в ботнете Kimwolf, который заражал миллионы Android-устройств. В случае XCPE доступ к такой инфраструктуре продавал предполагаемый организатор заражения.
Масштаб кампании вышел далеко за пределы телевизионных приставок. Компания TrendAI подтвердила распространение XCPE более чем в 200 странах. Среди пострадавших устройств Google также обнаружила медицинское оборудование для дистанционного обслуживания пациентов, караоке-системы и цифровые рекламные панели.
Для прекращения работы ботнета Google добилась блокировки управляющих доменов и серверов, а также инфраструктуры более десятка семейств вредоносного ПО. По оценке компании, принятые меры должны лишить операторов доступа как минимум к 10 млн дополнительных заражённых устройств. Речь идёт о прогнозируемом результате блокировок, а не о подтверждённой очистке всей техники.
Google прекратила сотрудничество с Videostrong и запретила производителю, включая будущие дочерние структуры, выпускать сертифицированные Android-устройства и поставлять программное обеспечение другим сертифицированным производителям. После обнаруженного обхода проверок компания усилила контроль прошивок.
Проблема заводского заражения уже проявлялась в истории BADBOX 2.0. Google рекомендует покупать устройства у проверенных производителей, использовать доверенные магазины приложений и не отключать Play Protect.
