Google Threat Intelligence poinformowało 2 listopada 2026 roku, że w zeszłym tygodniu razem z partnerami rozbiło XCPE - botnet złożony z ponad 1,3 mln przystawek telewizyjnych z Androidem w ponad 200 krajach. W akcji brały udział japońska Krajowa Agencja Policji, Lumen, HUMAN Security, Plume, Synthient i TrendAI z Trend Micro. Google z dużą pewnością wskazuje, że tylne drzwi zbudowała i prowadziła dla zysku firma Videostrong Technology, która produkuje urządzenia z Androidem pod cudzymi markami.

Zainfekowane, zanim opuściły fabrykę

Nikt nie musiał niczego pobierać. XCPE było fabrycznie wgrane w oprogramowanie układowe jako aplikacja systemowa (x.cpe, pakiet com.oemservice) z uprawnieniami systemu. Po jej usunięciu kopia z partycji /oem/ wracała przy następnym uruchomieniu. Program wyłączał też weryfikację aplikacji w Google Play Protect.

Według Google tylne drzwi rozwijano co najmniej od końca 2024 roku, a od sierpnia 2026 roku pojawiały się nowe pakiety instalujące kolejne moduły. Poza przystawkami trafiły do urządzeń do telemedycyny, sprzętu karaoke i ekranów reklamowych. Videostrong obchodził testy, którym Google poddaje urządzenia, w prosty sposób: szkodliwy kod pobierał dopiero po pierwszym uruchomieniu.

Polecenia przez MQTT

Po wstępnym kontakcie przez HTTP każda przystawka utrzymywała stałe połączenie MQTT z brokerem pod adresem mqtt.szbboys[.]com na portach 3885-3887, a badacze natrafili w tej infrastrukturze na konsolę zarządzania EMQX. Tą drogą operatorzy mogli po cichu instalować aplikacje, wykonywać polecenia powłoki, robić zrzuty ekranu, symulować naciśnięcia klawiszy i wyciągać dane z urządzenia.

Zarabiały moduły doładowywane na przystawki. Część zamieniała je w pośredników sieciowych i odsprzedawała łącze właściciela innym, przez usługi, które Google wymienia z nazwy, między innymi Honeygain, NetNut, Traffmonetizer i EarnFM. Inne po kryjomu generowały fałszywe wyświetlenia reklam, a jeszcze inne instalowały kolejne tylne drzwi. Pod koniec 2024 roku moduły przeniesiono do osobnej aplikacji ładującej, com.abc.nexus.

Co dała akcja

Google podjęło kroki prawne wobec serwerów i domen sterujących XCPE oraz wobec infrastruktury ponad dziesięciu powiązanych rodzin szkodliwego oprogramowania. Szacuje, że odcina to operatorów od co najmniej 10 mln kolejnych urządzeń. Videostrong i jego ewentualni przyszli wspólnicy mają zakaz wstępu do certyfikowanych urządzeń z Androidem i aplikacjami Google, a także zakaz dostarczania oprogramowania ich producentom. Google zmieniło też sposób sprawdzania integralności oprogramowania układowego.

Przystawka odcięta od serwera sterującego jest spokojniejsza, ale tylne drzwi nadal siedzą w jej oprogramowaniu. Skoro aplikacja sama się przywraca, ani przywrócenie ustawień fabrycznych, ani jej odinstalowanie nie pomoże.

Co sprawdzić w domu

Google radzi kupować przystawki od znanych producentów z listy partnerów Android TV, uważać na aplikacje, które płacą za „udostępnianie łącza”, i nie wyłączać Play Protect. Jeśli w domu już działa tania przystawka bez marki, rozsądniej odłączyć ją od sieci albo przenieść do osobnej sieci dla gości lub urządzeń IoT, z dala od kamer, dysków sieciowych i serwera automatyki domowej. Ruch z niej wychodził przez łącze właściciela, więc na cudzych serwerach widniał jego adres IP.