«Намеренное заражение производителем устройств своих пользователей вредоносным ПО — недопустимое злоупотребление доверием, представляющее серьёзную угрозу для этих пользователей», — написали в Google.
Речь идёт о Videostrong Technology — шэньчжэньской компании, выпускающей приставки Android TV и другие устройства. В Google заявили, что с высокой степенью уверенности считают, что Videostrong разработала бэкдор и управляла им ради прибыли, продавая доступ преступным партнёрам. Код был обнаружен во многих моделях и брендах устройств на протяжении нескольких лет.
«Мы полагаем, что эта кампания не была делом отдельного недобросовестного сотрудника или следствием недосмотра при разработке», — написали в Google.
Google разорвала отношения с Videostrong. Компании, а также любым её будущим дочерним и аффилированным структурам запрещено выпускать сертифицированные Android-устройства и поставлять ПО другим сертифицированным производителям.
Что делал бэкдор
Бэкдор x.cpe находится в прошивке с правами системного уровня и переустанавливается, если пользователь его удаляет. Он отключал Google Play Protect — встроенный в Android сканер приложений, — чтобы устанавливать программы без ведома владельца.
Затем Videostrong загружала на приставки модули своих партнёров. Большинство из них превращали устройства в резидентные прокси. Такие прокси сдают в аренду домашнее интернет-подключение, благодаря чему чужой трафик выглядит так, будто исходит из обычного домохозяйства. Другие модули накручивали просмотры онлайн-рекламы.
По данным Google, операторы Videostrong также делали снимки экрана в реальном времени, внедряли нажатия клавиш и копировали данные учётных записей и системные журналы. Бэкдор мог составлять карту домашней сети, к которой подключена приставка. В сентябре LG заявила, что её смарт-телевизоры сканируют домашние сети и что так делает любой смарт-телевизор.
Большинство заражённых устройств составляли телевизионные приставки. Бэкдор также обнаружили в устройствах для телемедицины, караоке-системах и цифровых рекламных панелях.
Германия и Великобритания среди целей
Google сотрудничала с Национальным полицейским агентством Японии, Lumen, HUMAN Security, Plume, Synthient и TrendAI. С помощью судебных мер компания отключила управляющие серверы Videostrong. Она также ликвидировала управляющие домены более чем десятка семейств вредоносного ПО, загружавшихся через бэкдор. Google рассчитывает, что это отрежет злоумышленников ещё как минимум от 10 млн заражённых устройств.
Операция последовала через несколько недель после того, как Microsoft пресекла работу китайскоязычных фишинговых наборов, стоявших за 1 млрд мошеннических сообщений.
TrendAI, корпоративное подразделение Trend Micro, насчитало с июня по октябрь 1 472 554 заражённых устройства 206 моделей. Больше всего их оказалось в Малайзии, Бразилии, Ираке, Мексике и на Тайване. В США, Германии, Великобритании, Австралии и Канаде — примерно от 26 000 до 42 000 в каждой стране.
Брешь в тестах Google
Videostrong была сертифицированным производителем Android-устройств, а значит, её продукция проходила тесты Google на совместимость и безопасность. По словам Google, Videostrong скрывала свой код, используя «брешь в наших тестах», и загружала его после первого запуска устройства. Google изменила процедуру проверки и совершенствует контроль прошивок сертифицированных устройств Android TV. Брешь обнаружилась через несколько недель после того, как Google добавила проверку на мошенничество с помощью Gemini в звонки Android и Messages.
Как сообщило издание The Hacker News, 2 ноября на сайте Videostrong всё ещё были представлены продукты под названием «Google Certified Android TV Box».
Операция отрезает операторов от устройств, но не очищает приставки. В TrendAI отметили, что владельцы не могут удалить бэкдор самостоятельно, поскольку он работает как системное приложение, подписанное ключом производителя. Компания Synthient, связывающая бренд MECOOL с Videostrong, опубликовала список из 182 названий моделей, замеченных в кампании. При этом она предупреждает, что одно лишь название модели не подтверждает заражение приставки.
Опубликовано 4 ноября 2026 - 05:22 Наверх
