Ликвидация ботнета XCPE: 1,3 млн зараженных Android ТВ-приставок

Коалиция компаний в сфере информационной безопасности вместе с Национальным полицейским агентством Японии провела успешную операцию по пресечению деятельности бэкдора XCPE. Масштабный ботнет охватывал свыше 1,3 миллиона ТВ-приставок и других Android-устройств в более чем 200 странах мира.

Краткая сводка операции: - Бэкдор XCPE поразил более 1,3 млн устройств в 200+ странах. - К разработке вредоносного ПО причастна китайская компания Videostrong Technology. - В операции участвовали Google, Lumen, Human Security, Plume, Synthient и TrendAI.

Детали заражения и роль Videostrong Technology Google Threat Intelligence Group с высокой степенью вероятности указывает на то, что бэкдор и ботнет были преднамеренно разработаны и эксплуатировались китайской компанией Videostrong Technology ради финансовой выгоды. Производитель из Шэньчжэня встраивал вредоносный код прямо в прошивку ТВ-приставок и проекторов, после чего продавал доступ к нему криминальным партнёрам. Когда ничего не подозревающие покупатели подключали устройства к домашним сетям, встроенный бэкдор активировался. Это позволяло злоумышленникам создавать прокси-сети и скрывать вредоносный трафик, используя чужой интернет-канал без ведома владельцев оборудования.

Технические особенности работы бэкдора XCPE Специалисты из TrendAI выяснили, что агент управления в прошивке маскировался под легитимный клиент удаленного администрирования. Он скачивал обновления с GitHub и устанавливал связь с сервером MQTT, открывая операторам полный удаленный доступ к зараженным гаджетам. Инструментарий позволял полностью контролировать оборудование: устанавливать и удалять приложения, менять системные настройки и рассылать обновления. Только в период с 3 июня по 1 октября 2026 года TrendAI зафиксировала свыше 3,8 миллиона уникальных домашних и мобильных IP-адресов, вовлеченных в эту активность.

Последствия для производителей и связь с Badbox 2.0 В рамках операции коалиция также заблокировала C2-домены аффилированных участников, что, по оценкам Google, лишило злоумышленников доступа еще примерно к 10 миллионам скомпрометированных устройств. Сама компания Google полностью разорвала партнерские отношения с Videostrong Technology и запретила ей выпускать устройства с фирменными предустановленными сервисами. Данный инцидент напрямую связан с экосистемой известного ботнета Badbox 2.0, который заразил более 10 млн устройств до его ликвидации в марте предыдущего года. Нынешняя операция демонстрирует новый уровень координации между технологическими гигантами и международными правоохранительными органами в борьбе с глобальными угрозными сетями.