Google отключила партнёра после заражения 1,3 млн Android TV-боксов: как проверить свой
Я думал, что моя приставка для ТВ — это просто коробочка, которая показывает фильмы. Но недавно узнал, что за 1,3 миллиона таких коробочек Google разорвала контракт с китайским производителем Videostrong. В отчёте от 2 ноября Threat Intelligence Group заявила, что компания намеренно встроила в прошивку бэкдор XCPE, чтобы зарабатывать на продаже доступа к устройствам. И это не просто теория: специалисты нашли на одном боксе до трёх SDK для прокси-сетей, а операторы даже делали скриншоты экрана и вытаскивали данные аккаунтов. Об этом сообщает издание BGR.
Videostrong была сертифицированным партнёром Google. Такие производители обязаны проходить тесты на совместимость и безопасность перед выпуском устройств с приложениями Google. Но Videostrong спрятала код так, что проверки его не видели: вредонос загружался только после первого включения. Теперь Google запретила компании выпускать сертифицированные Android-устройства и поставлять софт другим производителям. И это не первый случай: в январе Google уже разрушила сеть IPIDEA, которая работала на миллионах устройств.
Как XCPE попал на 1,3 млн Android TV-боксов
По данным отчётов, XCPE был предустановлен в прошивке и работал с системными правами. Компания Synthient купила Mecool KM9PRO Max в конце 2025 года и обнаружила бэкдор под именем com.oemservice. Mecool популярны среди любителей пиратства, потому что позволяют ставить сторонние приложения в обход DRM. При каждом запуске XCPE отправлял на серверы Videostrong серийный номер и MAC-адрес, ожидая команд. Операторы могли устанавливать приложения без ведома владельца или выполнять команды оболочки. По оценкам Synthient, около полумиллиона из 1,3 млн боксов до сих пор общаются с серверами ежедневно. Большинство в Малайзии, Мексике и Бразилии, но есть и в США.
Google также нашла XCPE в телемедицинских устройствах, караоке-машинах и цифровых вывесках. В рамках ликвидации ботнета компания через суд закрыла домены и серверы Videostrong, а также серверы более чем дюжины семейств вредоносных программ, которые распространялись через XCPE. Эти семейства распространялись и другими путями, поэтому отключение серверов должно отрезать преступников от ещё как минимум 10 миллионов заражённых устройств.
Как проверить, есть ли на вашем Android TV-боксе вредонос
Проверить бокс на XCPE непросто. С августа 2026 года некоторые устройства получают новые версии вредоноса, замаскированные под системные приложения, например com.android.system.ntp. Synthient опубликовала список из более чем 180 моделей, связанных с кампанией, включая KM9PRO. Но наличие модели в списке не означает, что заражение подтверждено. Также рекомендуется проверить, не используется ли ваш IP-адрес как резидентный прокси, через онлайн-сервисы.
Google советует включить Play Protect. На Android TV с Android 11 и новее настройка находится в приложении Google Play Store: Меню > Play Protect > Настройки. На Android 10 и ниже — в Настройки > Приложения > Безопасность и ограничения, там это называется «Проверка приложений». Но Play Protect может не помочь против XCPE, потому что бэкдор умеет отключать проверку приложений.
Частая ошибка: удаление XCPE не решит проблему
Если удалить бэкдор, он переустановится из прошивки при следующей перезагрузке. Поэтому Synthient рекомендует отключить устройство от сети, сменить пароль Wi-Fi и обновить прошивку роутера. ФБР ранее предупреждало, что стриминговые устройства могут шпионить за вами. Теперь риск выше, если вы используете дешёвый бокс неизвестного бренда. Google обновила процесс проверки, чтобы другие производители не могли протащить вредонос так, как это сделала Videostrong.
Итог
Если у вас есть Android TV-бокс, особенно бюджетный, проверьте его на признаки XCPE. Загляните в список моделей Synthient, включите Play Protect и проверьте IP на прокси. Если подозреваете заражение — отключите устройство и смените пароли. Лучше переплатить за проверенный бренд, чем потом разбираться с украденными данными.
