Google 2 listopada 2026 r. ogłosiło przerwanie działania infrastruktury botnetu XCPE i zerwanie współpracy z Videostrong Technology Co. Według relacji dotyczących ustaleń Google sieć obejmowała około 1,3 mln urządzeń, z których większość stanowiły przystawki Android TV. Lista modeli powiązanych z kampanią może pomóc rozpoznać urządzenie, ale sama zgodność nazwy nie potwierdza infekcji konkretnego egzemplarza.
Co Google ogłosiło w sprawie XCPE
Google poinformowało, że zakłóciło działanie XCPE i powiązanej infrastruktury sterującej oraz zakończyło współpracę z Videostrong. Firma zablokowała też producentowi możliwość wytwarzania certyfikowanych urządzeń z Androidem i dostarczania oprogramowania certyfikowanym partnerom. Google podało również, że zmieniło procedurę sprawdzania urządzeń.
Google przypisało Videostrong celowe stworzenie i prowadzenie backdoora dla zysku. To ocena Google, a nie ustalenie sądu.
Liczba około 1,3 mln dotyczy urządzeń w sieci XCPE; większość z nich stanowiły przystawki telewizyjne z Android TV. Wśród urządzeń opisywanych w związku z kampanią znalazły się także inne sprzęty IoT z Androidem, między innymi urządzenia karaoke, telemedyczne i systemy oznakowania cyfrowego. Osobno Google szacowało, że zakłócenie domen sterujących modułami partnerskimi może odciąć dostęp do co najmniej 10 mln dodatkowych urządzeń. Ta druga liczba dotyczy zasięgu infrastruktury sterującej, a nie dodatkowych zakażeń XCPE.
Jak działał backdoor XCPE
Google informowało, że kod ukryty w oprogramowaniu układowym urządzenia aktywował się po pierwszym uruchomieniu. Zaciemnianie kodu miało pozwolić mu ominąć etap certyfikacji i ujawnić działanie dopiero później.
Według opisu Google moduły powiązane z XCPE służyły między innymi do oszustw reklamowych, tworzenia sieci proxy wykorzystujących domowe łącza oraz dostarczania kolejnego złośliwego oprogramowania. Google opisywało też funkcje takie jak zdalne wykonywanie poleceń, przechwytywanie zrzutów ekranu i naciśnięć klawiszy oraz gromadzenie informacji o kontach i systemie.
Google przerwało działanie infrastruktury sterującej, ale to odrębna kwestia od usunięcia kodu z firmware’u urządzenia. W relacji Business Standardu opisującej ustalenia Google podano, że widoczny pakiet aplikacji mógł ponownie pojawić się po restarcie, nawet po jego usunięciu.
Co mówi lista modeli Synthient
Synthient publikuje identyfikatory modeli zaobserwowanych w kampanii, między innymi KM9PRO, KM9PRO_MAX, KM7PLUS, LEAP-S1 i UHD_Google_TV_STB. Repozytorium Synthient zaznacza, że zgodność nazwy modelu sama w sobie nie potwierdza przejęcia konkretnego urządzenia.
W jednym rekordzie dotyczącym KM9PRO Synthient wymienia markę MeCool, producenta SkyworthDigital, nazwę produktu HPR311-MECOOL i model UHD Google TV STB. Te pola pokazują, że marka i producent mogą być różnymi podmiotami; sam wpis nie przypisuje SkyworthDigital odpowiedzialności za XCPE. Przy sprawdzaniu urządzenia liczy się dokładny identyfikator modelu, a nie tylko podobna nazwa lub marka.
Co powiedziała MECOOL?
W filmie opublikowanym 5 listopada 2026 r. UG Tech odczytał wiadomość przypisywaną działowi obsługi posprzedażowej MECOOL. Według tej odpowiedzi Videostrong produkowało urządzenia marki MECOOL i złożyło odwołanie do Google, a MECOOL nie zalecało zwykłym użytkownikom zaprzestania korzystania ze swoich urządzeń. To stanowisko firmy, nie niezależna ocena bezpieczeństwa konkretnego sprzętu.
