Google Threat Intelligence Group poinformowało, że wykryło backdoor XCPE na ponad 1,3 mln urządzeń Android TV powiązanych z Videostrong Technology. Raport opublikowano 2 listopada 2026 r. Według relacji BGR w tygodniu przed publikacją artykułu z 4 listopada Google i firmy zajmujące się bezpieczeństwem zakłóciły działanie botnetu. Nie oznaczało to usunięcia malware z każdego urządzenia.
Co robił backdoor XCPE
Według relacji BGR XCPE znajdowało się w oprogramowaniu układowym urządzeń i działało z uprawnieniami systemowymi. Po uruchomieniu urządzenie miało wysyłać na serwery Videostrong dane takie jak numer seryjny i adres MAC, a następnie czekać na polecenia. Operatorzy mogli zdalnie instalować aplikacje lub uruchamiać polecenia powłoki.
Firma bezpieczeństwa Synthient zgłosiła, że znalazła XCPE pod nazwą pakietu com.oemservice na zakupionym pod koniec 2025 r. urządzeniu Mecool KM9PRO Max. Google miało też wykryć na pojedynczym urządzeniu nawet trzy zestawy SDK do obsługi domowych serwerów proxy. BGR informował ponadto o oszustwach reklamowych, a także o przypadkach wykonywania zrzutów ekranu i pobierania informacji o kontach.
Synthient szacował, że w czasie relacjonowanym przez BGR około 500 tys. urządzeń codziennie łączyło się jeszcze z serwerami botnetu. To szacunek dotyczący tamtego okresu, nie bieżący pomiar.
Zakłócenie botnetu nie usuwało infekcji z urządzenia
BGR relacjonował, że Google przecięło współpracę z Videostrong i zabroniło firmie tworzenia certyfikowanych urządzeń z Androidem oraz dostarczania oprogramowania innym certyfikowanym producentom. Google podjęło też działania prawne, by zamknąć domeny i serwery wykorzystywane do sterowania botnetem. Zakłócenie infrastruktury utrudniało operatorom komunikację z urządzeniami, ale nie czyściło automatycznie ich oprogramowania.
Według BGR samo usunięcie XCPE mogło nie wystarczyć: oprogramowanie układowe potrafiło ponownie zainstalować backdoor po restarcie. Dlatego odcięcie serwerów i usunięcie malware z urządzenia to dwie różne sprawy.
Zgodność modelu z listą ponad 180 urządzeń analizowanych przez Synthient nie dowodzi, że konkretny egzemplarz jest zainfekowany. BGR podkreślał, że takie dopasowanie samo w sobie nie potwierdza infekcji.
Jak ograniczyć ryzyko w domowej sieci
Synthient zalecał, według relacji BGR, odłączenie podejrzanego urządzenia od sieci, zmianę hasła do Wi-Fi i aktualizację oprogramowania routera. Są to kroki ograniczające dalsze ryzyko w sieci; sama zmiana hasła ani odłączenie urządzenia nie usuwa backdoora z jego oprogramowania układowego.
Kaspersky zaleca osobną sieć Wi-Fi dla urządzeń smart, takich jak TV boxy, przy pozostawieniu telefonów, komputerów i pamięci sieciowej w sieci głównej. Taka segmentacja może ograniczyć dostęp przejętego urządzenia do pozostałych sprzętów w domu. Nie naprawia jednak infekcji XCPE.
Jeśli urządzenie budzi podejrzenia, odłącz je od sieci i ogranicz jego dostęp do pozostałych sprzętów; sama zgodność modelu z listą nie jest diagnozą.
