Google poinformowało, że pod koniec października 2026 r. zakłóciło infrastrukturę dowodzenia i kontroli botnetu x.cpe. Sieć obejmowała ponad 1,3 mln urządzeń z Androidem, głównie przystawek telewizyjnych. Działanie wymierzone w kanały sterujące nie oznacza samo w sobie usunięcia backdoora z firmware’u urządzeń. Google opisało operację i działanie x.cpe.
Co Google zakłóciło
Google podało, że działania prawne objęły domeny i serwery wykorzystywane do sterowania botnetem. Firma przypisała też z wysoką pewnością Videostrong Technology Co. celowe stworzenie, wdrożenie i obsługiwanie backdoora dla zysku. To ocena Google Threat Intelligence Group.
Google poinformowało również o zakazie obejmującym Videostrong oraz przyszłe podmioty zależne i stowarzyszone: nie mogą one tworzyć ani sprzedawać certyfikowanych urządzeń Android ani dostarczać oprogramowania certyfikowanym dostawcom.
Dwie liczby opisujące skalę
Google podało, że botnet obejmował ponad 1,3 mln urządzeń. TrendAI przedstawiło odrębny wynik: 1 472 554 zainfekowane urządzenia w 206 modelach, liczone w okresie od 3 czerwca do 1 października.
Jak działał x.cpe
x.cpe był backdoorem, czyli ukrytym mechanizmem zdalnego dostępu, zapisanym w firmware i działającym z uprawnieniami systemowymi. Mógł odtworzyć się po ponownym uruchomieniu urządzenia z partycji /oem/. Zgłaszane zastosowania obejmowały ruch przez domowe łącza internetowe, oszustwa reklamowe, instalowanie kolejnych modułów złośliwego oprogramowania oraz zbieranie informacji o urządzeniu i koncie, zrzutów ekranu, naciśnięć klawiszy, list aplikacji i logów systemowych.
Analiza techniczna NetmanageIT opisuje dwustopniową komunikację: początkowe żądanie konfiguracyjne HTTP zawierało zaszyfrowany algorytmem AES obiekt JSON z telemetrią urządzenia, a następnie nawiązywane było trwałe połączenie MQTT. W tej analizie najczęściej opisywane interakcje dotyczyły instalowania, usuwania i konfigurowania modułów.
Co oznacza to dla urządzeń
Lista przypisywana Synthient obejmowała 182 nazwy modeli. Sama zgodność nazwy nie przesądza o infekcji konkretnego egzemplarza. Synthient zgłosiło także znalezienie x.cpe w zakupionym egzemplarzu MECOOL KM9PRO Max; ten wynik dotyczy badanego urządzenia.
Ponieważ x.cpe znajdował się w firmware i wracał po restarcie, samo usunięcie aplikacji nie usuwało tego komponentu. TrendAI wymieniało działanie dostawcy, zabezpieczenia po stronie platformy albo wymianę urządzenia jako możliwe sposoby postępowania z backdoorem zapisanym w firmware.
