Google отключил ботнет на 1,3 млн Android TV. Videostrong вшил бэкдор в MECOOL

Google 2 ноября 2026 года объявил, что вместе с партнёрами отключил ботнет XCPE (также x.cpe) на более чем 1,3 млн приставок Android TV. Их производил Videostrong Technology - завод из Шэньчжэня, который выпускал устройства и под своим именем, и как подрядчик для чужих брендов, в том числе популярных MECOOL. Бэкдор сидел в прошивке с правами системы, переживал перезагрузку и сдавал домашний канал криминальным «арендаторам». Это касается любого, кто купил недорогую приставку с Google-сертами на маркетплейсе: коробка могла работать прокси и крутить фейковую рекламу без вашего ведома.

Сертификация Android TV должна была ловить такое. Videostrong обошёл тесты: вредоносный код подгружался после первой загрузки. Google разорвал отношения с заводом и запретил ему и будущим «дочкам» выпускать устройства с предустановленными сервисами Google.

Что именно вшили в коробку

По оценке Google Threat Intelligence Group (подразделение компании по угрозам), бэкдор разрабатывали намеренно и годами, не «ошибка инженера». С конца 2024 года схема выросла из простого загрузчика в трёхэтажную конструкцию. Основной модуль x.cpe (в части сборок com.oemservice) лежит в разделе прошивки /oem/, работает с правами android.uid.system. Если пользователь его снесёт, после перезагрузки он ставится снова.

Дальше в дело вступает загрузчик (раньше com.abc.nexus), который тянет «модули монетизации» от сторонних групп. Эти модули превращали приставку в узел жилого прокси (сервисы вроде Linkfog, AppSalt, NetNut), крутили скрытую рекламу (CBOXTV, HiddenView) или ставили ещё бэкдоры. Команды шли по MQTT - лёгкому протоколу для нестабильных сетей. Операторы могли ставить приложения молча, отключать проверку Google Play Protect, делать скриншоты экрана и выполнять команды в оболочке.

Google пишет, что нашёл вредоносное ПО сразу в разных моделях и брендах за несколько лет, с отдельной инфраструктурой и меняющимися настройками, чтобы не попасться.

Зачем это преступникам и сколько устройств

Жилой прокси - это когда чужой трафик (часто для обхода блокировок, скрейпинга или атак) выходит с вашего домашнего IP. Для жертвы это нагрузка на канал, риск, что ваш адрес попадёт в чёрные списки, и иногда утечка данных из домашней сети. Рекламное мошенничество крутит клики и показы без экрана. Google оценивает, что отключение командных серверов аффилиатов заденет ещё как минимум 10 млн заражённых устройств в других кампаниях.

Партнёры вроде TrendAI насчитали около 1,47 млн заражённых коробок по более чем 200 моделям с июня по октябрь 2026 года. Больше всего в Бразилии, Малайзии, Ираке, Мексике и на Тайване, но десятки тысяч были в Германии, Великобритании, США, Австралии и Канаде. В Европе и СНГ такие приставки массово везут с китайских площадок: белые коробки без имени, MECOOL KM9 Pro, KT1 и клоны.

Исследователи Synthient купили MECOOL KM9PRO Max и нашли бэкдор уже установленным. Список из сотен имён моделей выложили отдельно; совпадение названия - повод проверить свою коробку, а не приговор.

Почему «сертифицировано Google» не спасло

Чтобы ставить Google TV, Play Store и значок Android TV, завод проходит тесты совместимости и безопасности. Videostrong, по словам Google, применил обфускацию и загрузил код после первого включения. Устройства выглядели чистыми на стенде и «оживали» уже у покупателя.

Это не разовый сбой. Google прямо пишет: кампания не похожа на действия одного злоумышленника внутри завода. Компания запретила Videostrong выпускать сертифицированные устройства и поставлять софт другим сертифицированным вендорам. Параллельно ужесточили проверки целостности прошивки для Android TV.

Для покупателя урок жёсткий: галочка «Google certified» на коробке за 3-5 тысяч рублей не гарантирует, что завод не продаст ваш канал оптом. Дешёвые ODM (заводы, которые клепают железо под чужим брендом) остаются слепой зоной.

Что осталось в уже купленных приставках

Серверы управления оборвали. Модули аффилиатов больше не получают команды. Сам бэкдор в прошивке никуда не делся: его нельзя нормально снести через настройки. Play Protect на части устройств мог остаться выключенным. Google и партнёры не обещают «лечение по воздуху» для старых партий.

Практичный минимум, если коробка из списка или безымянная китайская: отключить от интернета, не входить в банки и почту через неё, не оставлять как единственный роутер для умного дома. Спросить у продавца прошивку или замену. Перепрошивка кастомной прошивкой - путь для тех, кто умеет, и не всегда есть готовый образ именно под вашу плату.

Если приставка стоит в гостиной как «просто YouTube», риск ниже, чем если через неё ходят все гаджеты. Но жилой прокси как раз любит именно такие всегда включённые коробки.

Как понять, что коробка из партии

Откройте «О устройстве» / «Сертификация» и посмотрите модель, производителя, сборку. MECOOL, Videostrong, неизвестный ODM, странные имена вроде KM9PRO_MAX, KM2PLUSDELUXE, KT1 - повод насторожиться. Белые коробки с AliExpress и «как у соседа, только дешевле» часто из той же линии.

Косвенные признаки, которые описывали исследователи: неизвестные системные приложения вроде com.oemservice, отключённая проверка приложений, странный исходящий трафик ночью, перегрев без нагрузки. Это не диагноз. Точный список моделей у Synthient и TrendAI неполный, завод клепал много брендов.

Новые сертифицированные устройства Videostrong больше не выпустит под Google. Старые партии на складах маркетплейсов никуда не исчезли.

Почему это бьёт по обычному человеку, а не только по «гикам»

Приставка - не сервер в офисе. Это телевизор родителей, дача, детская. Ботнет сдавал именно домашний IP: удобно для мошенников, которые маскируют рассылки, парсинг и атаки под «обычного абонента». Если ваш провайдер потом режет скорость или банк подозревает логин «из другой страны», причина может быть в коробке, а не в вас.

Второй слой - доверие к железу. Мы привыкли, что вирус приходит по ссылке. Здесь он приехал в заводской прошивке с сертификатом Google. Следующая волна будет не обязательно TV: те же ODM делают караоке, цифровые вывески и даже часть «умного» железа.

Google обещает дальше бить по цепочке: бэкдоры, рекламные кольца и прокси-провайдеры связаны. Разовые отключения серверов не убивают бизнес, пока есть другие заводы и другие модули.

Что сделать сегодня, без паники

1. Найти модель на наклейке и в настройках. Сверить с публичными списками исследователей (не с случайными Telegram-каналами).

2. Если совпало или коробка безымянная китайская - вынуть кабель Ethernet / отключить Wi-Fi, пока не решите, нужна ли она вообще. Телевизор с Smart TV или приставка известного бренда (не no-name) обычно спокойнее.

3. Не ставить на эту коробку банковские приложения и не использовать её как VPN-выход для всего дома.

4. Покупать следующее устройство у вендора, который сам отвечает за прошивку, а не у перекупщика «как на фото». Обновления по воздуху и нормальная поддержка важнее лишних гигагерц.

Это не инструкция «как взломать». Это разбор того, как завод превратил гостиную в товар на сером рынке доступа. Google отрезал управление. Железо у вас дома вы чистите сами.

Источники

Официальный разбор Google, репортажи The Verge, Ars Technica и Tom's Hardware подтверждают цифру 1,3 млн, роль Videostrong/MECOOL, запрет сертификации и то, что бэкдор остаётся в прошивке уже проданных устройств.