Bezpieczeństwo5 lis 2026, 01:35 UTC·1 min czytania

Google zrywa współpracę z Videostrong po backdoorze w 1,3 mln urządzeń

Google twierdzi, że chiński producent Videostrong preinstalował backdoora x.cpe na ponad 1,3 mln urządzeń z Androidem i sprzedawał dostęp przestępcom. Firma dostała zakaz współpracy.

A TV set-top box connected to a television with a red warning symbol indicating a hidden backdoor — Zdjęcie: ITmedia NEWS

Google poinformowało 3 listopada, że chiński producent Videostrong Technology z Shenzhen zainstalował fabrycznie backdoora w ponad 1,3 mln urządzeń z Androidem, głównie dekoderów Android TV, a dostęp do nich sprzedawał przestępcom. Według Google urządzenia wykorzystywano m.in. do oszustw reklamowych i przekazywania cudzego ruchu internetowego.

Google uznało, że Videostrong świadomie i dla zysku umieścił w urządzeniach szkodliwe oprogramowanie. Firma straciła możliwość produkcji i sprzedaży certyfikowanych urządzeń z Androidem oraz dostarczania oprogramowania innym certyfikowanym producentom.

Jak działał x.cpe

Złośliwy program x.cpe był obecny na urządzeniach od momentu wyjścia z fabryki. Aby ominąć testy bezpieczeństwa przeprowadzane przy certyfikacji, ładował szkodliwy kod dopiero po pierwszym uruchomieniu. Po usunięciu instalował się ponownie po restarcie i potrafił wyłączać Google Play Protect. Na jego podstawie Videostrong zbudowało botnet XCPE.

Atakujący mogli zdalnie robić zrzuty ekranu, wysyłać naciśnięcia klawiszy oraz wykradać dane kont i logi systemowe. Videostrong sprzedawało dostęp podmiotom, które zdalnie instalowały własne szkodliwe programy. Najczęściej służyły one jako „proxy domowe”, czyli przekazywały cudzy ruch przez łącze użytkownika, który o tym nie wiedział. Na jednym urządzeniu znaleziono nawet trzy takie programy. Wykryto też oszustwa reklamowe i dodatkowe złośliwe oprogramowanie.

Akcja przeciwko botnetowi

W ostatnim tygodniu października Google razem z japońską policją (NPA) oraz firmami Lumen, HUMAN Security, Plume, Synthient i TrendAI zakłóciło działanie XCPE. Podjęto kroki prawne wobec serwerów i domen służących do sterowania botnetem i dystrybucji malware’u, a także domen kontrolujących dodatkowe szkodliwe programy.

Te programy rozprzestrzeniały się także innymi drogami, więc Google szacuje, że działania odetną atakującym dostęp do co najmniej 10 mln urządzeń zainfekowanych inną ścieżką. Firma zapowiada też zmiany w procesie weryfikacji i mocniejsze sprawdzanie firmware’u certyfikowanych urządzeń Android TV pod kątem złośliwego kodu.