Google заявила, что в конце октября вывела из строя ботнет более чем на 1,3 млн Android-устройств. Почти все заражённые гаджеты — это ТВ-приставки и другие устройства на Android, а вредоносная схема жила в прошивке годами.

Компания считает, что производитель Videostrong сознательно встроил в устройства бэкдор и затем продавал к нему доступ преступникам. Через него злоумышленники использовали чужие приставки для рекламного мошенничества и прокачки трафика через домашние подключения владельцев.

Что произошло и почему это важно

Речь идёт не о разовой атаке на один компьютер, а о массовой инфраструктуре, спрятанной внутри потребительской техники. Устройства продолжали работать, но на деле выполняли команды операторов ботнета и участвовали в чужих схемах.

Такие истории особенно неприятны тем, что хозяин коробки часто не видит ничего подозрительного. Приставка включается, показывает картинку, а внутри уже запущен код с системными правами.

Как работал бэкдор x.cpe

По данным Google, бэкдор x.cpe жил внутри прошивки как системное приложение. Он связывался с серверами управления, получал команды и передавал операторам доступ к устройству на уровне системы.

Сначала код отключал проверки Google Play Protect, встроенной защиты Android. После этого злоумышленники могли незаметно ставить приложения, запускать команды, делать снимки экрана, собирать список программ, копировать сведения об аккаунтах и даже открывать удалённую командную строку.

Часть модулей превращала заражённые приставки в residential proxy — прокси через обычное домашнее подключение. Из-за этого чужой трафик выглядел как запросы обычной квартиры, а не инфраструктуры злоумышленников. Отдельные модули подделывали просмотры рекламы.

Чем опасны такие устройства

Главная проблема — бэкдор встроен в прошивку, а значит обычная очистка не помогает. По оценке исследователей, код снова появляется после перезагрузки, если производитель не выпустил исправление или устройство не заменили.

Опасность выходит далеко за пределы самой приставки. Через неё злоумышленники могут собирать данные о домашней сети, цепляться за другие устройства и использовать жилое подключение как прикрытие для своей активности.

Здесь важно не путать бытовую технику с безобидным «умным» гаджетом. Если устройство работает на Android и имеет удалённое управление, оно уже становится частью вашей цифровой поверхности атаки — об этом мы уже писали в разборе про бэкдоры в защищённых накопителях и про атаку через сторонний скрипт.

Как понять, что риск касается вас

Google и партнёры опубликовали список моделей, замеченных в кампании, но одно совпадение по названию ещё не доказывает заражение. Вредоносный код встречался на устройствах разных брендов, в том числе на приставках MECOOL, а также на некоторых телемедицинских устройствах, караоке-системах и экранах для вывесок.

Если дома или в офисе стоит Android TV box, купленный без чёткой истории обновлений, к нему стоит присмотреться особенно внимательно. Риск выше у техники, у которой производитель не даёт прозрачных обновлений прошивки и не поддерживает устройство долго.

Что делать владельцам и компаниям

Для частных пользователей базовый совет простой: проверьте модель, сверьтесь с публикациями исследователей и не держите подозрительную приставку на той же сети, где у вас банки, рабочие документы и умные камеры. Если устройство входит в список риска, лучше не полагаться на сброс к заводским настройкам как на окончательное решение.

Для бизнеса подход жёстче. Google и партнёры советуют изолировать такие гаджеты от критичных сегментов сети, а подозрительные устройства — отключать и менять. Это особенно важно для компаний, где сотрудники работают из дома, а личные приставки и телевизоры сидят в одной сети с рабочими ноутбуками.

Если вам нужен дополнительный слой защиты переписки и метаданных в поездках, аэропортах или кафе, посмотрите инструмент для приватных подключений и не смешивайте его с рабочими устройствами без нужды.

Практический чек-лист

  • Проверьте модель своей ТВ-приставки, цифрового табло или похожего Android-устройства.
  • Сверьте модель со списками, которые публикуют исследователи и производители средств защиты.
  • Обновите прошивку, если производитель ещё выпускает исправления.
  • Не подключайте подозрительные устройства к сети, где хранятся рабочие документы и доступ к банкам.
  • Разделите домашнюю сеть на отдельные сегменты для ТВ, камер и рабочих устройств.
  • Если устройство ведёт себя странно, отключите его от интернета и замените на поддерживаемую модель.
  • Для важных аккаунтов включите 2FA и проверьте, не сохраняются ли пароли на заражённом устройстве.
Поделиться: