Według doniesień Google i partnerzy zakłócili infrastrukturę sterującą botnetem XCPE, który miał objąć ponad 1,3 mln urządzeń, głównie przystawek z Android TV. Przerwanie komunikacji z serwerami dowodzenia i kontroli (C2) odcina botnet od infrastruktury zarządzającej, ale samo nie usuwa złośliwego kodu z oprogramowania układowego urządzenia.
Co zmieniło zakłócenie botnetu XCPE
W operacji uczestniczyły japońskie organy ścigania i firmy zajmujące się cyberbezpieczeństwem. Google powiązało kampanię z Videostrong Technology Co.; według doniesień miało też zakończyć współpracę z firmą i zabronić jej produkowania urządzeń z fabrycznie zainstalowanymi aplikacjami Google.
Zainfekowane urządzenia wykorzystywano między innymi do obsługi domowych serwerów proxy, oszustw reklamowych, wykradania danych i instalowania kolejnego złośliwego oprogramowania. Zakłócenie infrastruktury botnetu przerwało jego komunikację, lecz nie oznaczało usunięcia implantu z urządzeń.
Ile urządzeń i modeli zliczyła TrendAI
TrendAI miała zliczyć 1 472 554 zainfekowane urządzenia w 206 modelach w okresie od czerwca do października 2026 r. Większość urządzeń w kampanii stanowiły przystawki z Android TV.
Co użytkownicy mogą wywnioskować z ustawienia Play Protect
Google zalecało użytkownikom sprawdzić, czy Play Protect jest włączone, i kupować przystawki od renomowanych producentów. TrendAI miała ustalić, że implant działał jako aplikacja systemowa podpisana kluczem producenta, wyłączał Play Protect, a właściciele nie mogli go usunąć. Dlatego samo sprawdzenie ustawienia Play Protect nie dowodzi, że implant został usunięty z urządzenia.
