XCPE-botnettet: Google slår til mot infiserte Android TV-bokser

Google og samarbeidspartnerne har forstyrret XCPE-botnettet, som infiserte over 1,3 millioner Android TV-strømmebokser. I kunngjøringen 2. november anklaget Google den kinesiske produsenten Videostrong Technology Co. for bevisst å installere skadevare under produksjonen og selge tilgang til kriminelle samarbeidspartnere.

Google utestenger produsenten etter etterforskning

Google opplyste at selskapet med høy grad av sikkerhet kunne knytte operasjonen til Videostrong. Ifølge etterforskerne utviklet og distribuerte produsenten bakdøren på tvers av flere merker og modeller gjennom flere år. Deretter brukte kriminelle samarbeidspartnere de kompromitterte enhetene til annonsesvindel, proxytrafikk via private IP-adresser og installasjon av ytterligere skadevare.

Som følge av dette avsluttet Google samarbeidet med Videostrong og trakk tilbake selskapets lisens til å produsere Android TV-enheter med forhåndsinstallerte Google-apper og -tjenester. Forbudet hindrer også selskapet og dets fremtidige tilknyttede selskaper i å produsere sertifiserte Android-enheter. I tillegg kan de ikke levere programvare til sertifiserte leverandører.

Operasjonen involverte Japans nasjonale politimyndighet og sikkerhetsselskapene Lumen, HUMAN Security, Plume, Synthient og TrendAI. Sammen analyserte de infrastrukturen og forstyrret driften. Google opplyste at nedstengningen av serverne også kuttet kriminelles tilgang til minst 10 millioner ytterligere kompromitterte enheter knyttet til mer enn et dusin relaterte skadevarefamilier.

Disse ytterligere enhetene ble imidlertid ikke infisert gjennom XCPE. De omfattet TV-dekodere, karaokemaskiner og utstyr for fjernhelsetjenester, og noen av dem kjørte ikke Android.

Fabrikkinstallert skadevare muliggjorde fjernstyring

I motsetning til skadevare som er avhengig av at brukere laster ned en infisert app, baserte XCPE-botnettet seg på bakdører innebygd i enhetenes fastvare. Hovedkomponentene, identifisert som x.cpe og com.oemservice, kjørte med Androids systemrettigheter. Etter oppstart kontaktet skadevaren kontrollinfrastrukturen for å hente tilkoblingsinformasjon og motta kommandoer.

Operatørene kunne installere apper i det skjulte, deaktivere Google Play Protect og kjøre kommandoer med forhøyede rettigheter. De kunne også ta skjermbilder, simulere tastetrykk og samle inn kontoinformasjon eller systemlogger. I tillegg støttet bakdøren kartlegging av nettverk og ytterligere fjerntilgang.

Samtidig genererte separate moduler inntekter gjennom skjulte annonser og uautoriserte proxytjenester. Disse tjenestene rutet internettrafikk fra tredjeparter gjennom ofrenes enheter uten deres viten. Andre moduler installerte ytterligere bakdører, noe som utvidet angripernes tilgang.

Google opplyste at operatørene gjentatte ganger endret skadevaren for å unngå oppdagelse. De introduserte en separat lastekomponent mot slutten av 2024, før de begynte å erstatte den med mindre installasjonskomponenter i august 2026. Disse nyere komponentene utga seg for å være Android-systemapper.

Forskere sporer forbindelser til Videostrong

Synthient startet en undersøkelse etter å ha funnet forhåndsinstallert skadevare på en MECOOL KM9PRO Max TV-boks som ble kjøpt sent i 2025. Forskerne oppdaget en offentlig tilgjengelig serverkatalog som inneholdt bakdører og et dokument knyttet til Videostrongs forsknings- og utviklingsdirektør. De identifiserte også delt infrastruktur og selskapets e-postadresser som ble brukt til å signere skadelige komponenter.

Google opplyste at bevisene tydet på bevisst involvering fra produsenten, snarere enn handlingene til en enkelt ansatt eller en utviklingsfeil. Som følge av dette har selskapet endret gjennomgangsprosessen for sertifisering. Etterforskerne opplyste at Videostrong hadde skjult skadelig kode og lastet den inn etter at enhetene ble startet for første gang.

Operasjonen etterlater infeksjoner på berørte enheter

Selv om nedstengningen forstyrret XCPE-botnettet, fjernet den ikke skadevaren fra infisert maskinvare. Bakdøren kan installere seg selv på nytt fra enhetens /oem/-partisjon etter at den er fjernet. Derfor trenger berørte brukere ren fastvare for å eliminere infeksjonen, eller de må koble enheten fra internett for å forhindre ytterligere skadelig aktivitet.