Bezpieczeństwo3 lis 2026, 17:17 UTC·2 min czytania

Google wyłącza backdoora Videostrong w milionach TV boxów

Google ujawnia, że Videostrong sprzedawał certyfikowane TV boxy z wbudowanym backdoorem dla botnetu XCPE. Firma zlikwidowała serwery i zablokowała producenta.

An Android TV box connected to a television, with a red warning symbol suggesting a hidden security backdoor. — Zdjęcie: Hipertextual

SUMO

Dialo

ediviewer

Google wyłączyło backdoora w telewizyjnych przystawkach z Androidem, które wyprodukowała firma Videostrong. Według koncernu urządzenia z certyfikatem Android TV i Google TV trafiały do klientów z ukrytą furtką, służącą do instalowania złośliwego oprogramowania i sterowania botnetem XCPE.

Dostęp na poziomie systemu

Firma Synthient, partner Google w tej operacji, ustaliła, że luka dawała atakującym uprawnienia systemowe. Umożliwiało to m.in. zarządzanie plikami i zdalne wykonywanie kodu. Według Google Videostrong zarabiał na backdoorze, sprzedając dostęp przestępczym podmiotom afiliowanym i instalując na urządzeniach ich moduły. Te moduły prowadziły oszustwa reklamowe, po cichu włączały sprzęt do sieci proxy typu residential oraz doinstalowywały kolejne malware'y.

Problem nie dotyczy jednej marki. Badacze znaleźli ślady botnetu XCPE w modelach sprzedawanych m.in. jako Mecool i YokaTV. Synthient wskazuje, że część marek zdobyła popularność w Meksyku, Brazylii, Niemczech, Malezji, Stanach Zjednoczonych i Chinach.

Skala i luka w certyfikacji

Google mówi o około 1,3 mln zainfekowanych urządzeń Videostrong w botnecie XCPE, ale szacuje, że backdoor mogło mieć ponad 10 mln urządzeń. Sprawa jest wyjątkowo kłopotliwa dla firmy, bo Videostrong był zarówno producentem OEM, jak i ODM, więc mógł preinstalować aplikacje Google, co dodawało jego sprzętowi wiarygodności.

Według Google sprawcy ukryli backdoora przed testami zgodności i bezpieczeństwa. Dzięki obfuskacji wykorzystali lukę w procesie oceny i ładowali złośliwy kod dopiero po pierwszym uruchomieniu urządzenia. Google zmieniło już procedurę weryfikacji, by zapobiegać podobnym przypadkom.

Działania Google

Koncern zlikwidował serwery i domeny używane do instalowania malware'u, sterowania XCPE oraz dystrybucji innych rodzin złośliwego oprogramowania. Videostrong i wszystkie jego obecne oraz przyszłe spółki zależne nie mogą już produkować ani sprzedawać certyfikowanych urządzeń z Androidem, a także dostarczać oprogramowania innym certyfikowanym producentom.

Synthient i Google Threat Intelligence opublikowały raporty techniczne. Badacze zalecają użytkownikom sprawdzenie takich przystawek lub zaprzestanie ich używania. Nie wiadomo jednak, co stanie się z egzemplarzami wymienionych marek, które wciąż oferują odsprzedawcy.