Michael JohnsonВладельцу Android-ТВ-приставки с прошивкой производителя Videostrong стоит проверить происхождение устройства: 2 ноября Google сообщила, что вместе с партнёрами нарушила работу ботнета XCPE, в который было включено более 1,3 млн приставок. В рамках операции Google добивалась отключения серверов управления и вредоносных доменов, а Videostrong запретили выпускать сертифицированные Android-устройства с предустановленными приложениями Google. Google описала операцию как ответ на бэкдор, встроенный в прошивки ряда моделей.
Что именно отключили
По данным Google Threat Intelligence Group, XCPE использовал встроенный в прошивку компонент x.cpe. Он связывался с сервером управления, получал команды и загружал дополнительные модули. Google сообщила о юридических действиях против доменов и серверов, через которые Videostrong управляла ботнетом и устанавливала вредоносные компоненты, а также против управляющих доменов более дюжины вредоносных семейств.
В операции участвовали японское Национальное полицейское агентство, Lumen, HUMAN Security, Plume, Synthient и TrendAI. Google также заявила, что запретила Videostrong и её будущим дочерним и аффилированным компаниям производить и продавать сертифицированные Android-устройства и поставлять ПО другим сертифицированным производителям. Компания сообщила об изменениях в проверке целостности прошивок Android TV.
Формулировка «нарушила работу» точнее, чем обещание мгновенно очистить каждый телевизор. Google описывает демонтаж инфраструктуры управления и связанных доменов; публикация не сообщает об удалённом исправлении прошивок на всех уже проданных приставках. Отключение серверов лишает операторов важных каналов управления и доставки модулей, но само по себе не переписывает установленное программное обеспечение.
Почему заражение переживало перезагрузку
Вредоносный компонент находился в системном разделе прошивки. Google пишет, что x.cpe запускался с системными привилегиями и мог восстановить свою копию после перезагрузки, если пользователь удалял приложение из обычного раздела данных. Поэтому попытка найти и удалить подозрительное приложение через настройки Android не гарантировала очистку приставки.
Бэкдор поддерживал постоянное соединение с инфраструктурой управления и мог получать команды на скрытую установку приложений, запуск оболочки и сбор данных. Google сообщила, что наблюдала захват снимков экрана, ввод команд, передачу сведений об учётных записях и системе, а также запуск скриптов. Загруженные модули превращали устройства в узлы жилых прокси-сетей или использовали их для рекламного мошенничества; часть модулей устанавливала дополнительное вредоносное ПО.
Это делает обычную ТВ-приставку частью чужой сетевой инфраструктуры. Трафик через домашнее подключение может выглядеть как трафик самого пользователя, хотя устройство фактически выполняет команды удалённого оператора. Среди выявленных целей Google также называла мошеннические показы рекламы и передачу данных.
Что делать владельцу приставки
Сначала проверьте точную марку и модель устройства, производителя прошивки и сведения о сертификации. Название бренда само по себе не подтверждает заражение: Google говорит о множестве моделей и брендов, в которые попадало ПО Videostrong, а значит, решающее значение имеют происхождение устройства и его прошивка. Сверьте сведения с актуальным списком официальных партнёров Android TV и документами продавца или производителя.
Если происхождение устройства не удаётся установить или оно относится к затронутой экосистеме, отключите приставку от сети и обратитесь к продавцу или производителю за подтверждённой инструкцией по замене или перепрошивке. Сброс настроек и удаление приложений не следует считать достаточным решением для компонента, который, по описанию Google, хранится в системной прошивке и восстанавливается после перезапуска. Не устанавливайте на устройство случайные образы прошивки из форумов: ошибочный образ может вывести его из строя или создать новые риски.
Если приставка использовалась для входа в аккаунты или отображала личную информацию, проверьте активность этих аккаунтов с другого, доверенного устройства и смените пароли при признаках доступа посторонних. Такой шаг относится к защите учётных записей: он не очищает саму приставку, поэтому решение по устройству нужно принимать отдельно.
Что остаётся после операции
Google связывает XCPE с намеренной установкой и коммерческим использованием бэкдора Videostrong. Компания также оценивает, что отключение управляющих доменов связанных модулей может лишить доступа к ним ещё более 10 млн скомпрометированных устройств за пределами XCPE. Это оценка Google о возможном эффекте мер против общей инфраструктуры, а не подтверждённое число очищенных устройств.
Для пользователей главный практический результат прост: если приставка получена из неизвестного источника или использует прошивку Videostrong, удаление приложений и перезагрузка не дают надёжного подтверждения чистоты. Проверка модели и происхождения, а затем замена устройства либо подтверждённое восстановление прошивки — более обоснованный путь, чем попытка вручную удалить один видимый компонент.
