Google прекъсна достъпа на престъпници до над 1,3 милиона Android TV приставки, в които според компанията самият производител е вградил бекдор още във фабриката. Ако под телевизора ви работи евтин Android TV бокс от малко позната марка, сега е моментът да проверите какво точно сте купили.
Накратко
- Google обвинява китайския производител Videostrong, че съзнателно е вграждал бекдора XCPE и е продавал достъп до устройствата.
- Заразените кутии са превръщани в прокси възли и рекламни ботове, а бекдорът изключва защитата Google Play Protect.
- Google свали сървърите на мрежата и забрани на Videostrong да прави сертифицирани Android устройства.
Как кутията под телевизора става част от ботнет
Бекдорът, който изследователите наричат XCPE, работи като системно приложение с пълни права и се свързва със сървъри за управление. Първото, което прави, е да изключи проверката на приложения в Google Play Protect. След това операторите могат да инсталират софтуер без знанието на собственика, да правят снимки на екрана, да въвеждат команди и да разглеждат домашната мрежа. Google е наблюдавала и кражба на данни за акаунти, списъци с приложения и системни логове, пише екипът на компанията за киберзаплахи.
Най-често обаче заразените приставки просто са продавали интернета на собствениците си. Допълнителни модули ги превръщат в така наречените резидентни проксита – чужд трафик минава през домашната връзка и изглежда като идващ от обикновен потребител. Други модули „гледат“ реклами във фонов режим, за да източват пари от рекламодатели. Собственикът вижда само по-бавен интернет и кутия, която понякога загрява без причина.
Производител на устройства, който умишлено заразява потребителите си със зловреден софтуер, е недопустимо нарушаване на доверието.
Google Threat Intelligence, 2 ноември 2026 г.
Кой стои зад схемата
Google заявява с „висока степен на увереност“, че зад XCPE стои Videostrong Technology – производител от Шънджън, който прави Android TV приставки под собствено име и за други марки. Компанията не смята, че става дума за един недобросъвестен служител или за грешка при разработката. Бекдорът е открит в много модели и марки в продължение на години, а Videostrong е продавала достъп до тях на престъпни „партньори“.
Изследователите от Synthient свързват мрежата най-вече с марката MECOOL. Те са купили приставка MECOOL KM9PRO Max и са открили бекдора предварително инсталиран. TrendAI е преброила 1 472 554 заразени устройства от 206 модела само между 3 юни и 1 октомври, като реалният брой вероятно е по-голям. Най-много са в Малайзия, Бразилия, Ирак, Мексико и Тайван, но в Германия и Великобритания също се броят десетки хиляди, съобщава The Hacker News. Освен ТВ приставки, засегнати са и устройства за телемедицина, караоке системи и рекламни екрани.
Какво направи Google
Заедно с японската Национална полицейска агенция и компаниите Lumen, HUMAN Security, Plume, Synthient и TrendAI Google е свалила по съдебен път домейните и сървърите на мрежата, както и управляващите домейни на над дузина свързани зловредни програми. Така според компанията престъпниците губят достъп и до поне 10 милиона други заразени устройства, които получават същите модули по други канали.
Videostrong и бъдещите ѝ дъщерни фирми вече нямат право да правят или продават сертифицирани Android устройства, да доставят софтуер на сертифицирани производители и да предлагат приставки с предварително инсталирани приложения на Google. Компанията променя и проверките си. Зловредният код е бил скриван и зареждан едва след първото включване на устройството, така че е минавал тестовете за съвместимост.
Как да проверите своя Android TV бокс
- Вижте марката и модела. Synthient публикува списък със 182 модела, свързани с мрежата. Съвпадението не означава непременно заразяване, но MECOOL и непознатите марки без лого на Google на кутията са първите за проверка.
- Проверете Play Protect. Отворете Google Play, докоснете профила си и изберете Play Protect. Ако защитата е изключена и не остава включена, това е сериозен сигнал.
- Проверете дали производителят е сертифициран. Google поддържа списък с партньорите си за Android TV. Ако марката я няма там, приставката не е минала нейните проверки.
- Не инсталирайте приложения, които плащат за „споделяне на интернета“. Точно чрез такива програми домашните връзки се превръщат в прокси възли.
- Не разчитайте на фабрично нулиране. Бекдорът е във фърмуера и се връща след рестарт. TrendAI посочва, че чистене е възможно само с действие от производителя или с подмяна на устройството, а Synthient съветва засегнатите кутии да се изхвърлят.
Докато решите какво да правите, свържете съмнителната приставка към гост мрежата на рутера, ако има такава. Така тя няма да вижда компютрите и телефоните у дома.
Евтината кутия може да излезе най-скъпа
Случаят показва, че сертификатът не е гаранция, когато производителят сам крие кода, но рискът е най-голям при безименните приставки от онлайн платформите, които обещават „всичко безплатно“ на подозрително ниска цена. Сигурните варианти са утвърдените марки и устройства като Chromecast with Google TV, които получават редовни обновления. Също толкова важно е откъде инсталирате софтуер – наскоро фалшиви PS5 емулатори в GitHub крадяха пароли по същата логика, а актуализациите на Google System покриват само устройства, които изобщо ги получават. Още новини за сигурността следим в рубриката Новини.
