Что произошло
Группа Google Threat Intelligence 3 ноября опубликовала разбор бэкдора XCPE, который превратил более 1,3 млн ТВ-приставок на Android в ботнет. Google с высокой уверенностью считает, что производитель Videostrong Technology сам разработал и эксплуатировал бэкдор ради прибыли и продавал доступ преступным партнёрам для рекламного мошенничества, резидентных прокси и дополнительного вредоносного ПО.
Код скрывался обфускацией и подгружался после первого запуска устройства — так Videostrong использовала пробел в тестах Google для производителей. Google начала судебные действия против управляющих доменов и серверов ботнета и более чем дюжины семейств вредоносного ПО; это, по оценке компании, отрежет доступ ещё как минимум к 10 млн заражённых устройств.
Videostrong и её будущим аффилированным структурам запрещено выпускать сертифицированные устройства Android и поставлять ПО сертифицированным производителям. Google усилила проверку прошивок и порядок проверки производителей. Среди партнёров — Национальное полицейское агентство Японии, Lumen, HUMAN Security, Plume, Synthient и TrendAI.
Почему это важно
Это редкий случай, когда источник заражения — не взломщик, а сам производитель, а устройства прошли сертификацию Google. Вывод для рынка неприятный: наличие сертификата и известного бренда платформы не гарантирует, что в прошивке нет скрытого компонента. Приставки становятся частью чужой инфраструктуры: через них могут идти атаки, мошенничество с рекламой и трафик, который выдают за домашний.
Для Узбекистана тема практическая: дешёвые Android-приставки и Smart TV массово продаются через маркетплейсы и в рознице, а для бизнеса они стоят в отелях, ресторанах, офисах, торговых залах и на цифровых экранах. Если такое устройство находится в одной сети с кассой или рабочими компьютерами, оно становится точкой риска. Остаётся и вопрос закупки: проверять производителя до покупки, а не после инцидента.
Важно учитывать, что это оценка Google, а не судебное решение. Кроме того, отключение управляющих серверов само по себе не меняет прошивку на устройствах, уже оказавшихся у покупателей, поэтому следить за обновлениями и изолировать такие устройства стоит независимо от новостей.
Что это значит для бизнеса
- Вынесите приставки, Smart TV и другой IoT в отдельную гостевую сеть, изолированную от кассы и рабочих ПК.
- Закупайте устройства только у производителей с публичной политикой обновлений и безопасности.
- Проверьте, есть ли в вашей сети неизвестные устройства, и сверьте модели с публичными списками Synthient.
