Google припинила співпрацю з Videostrong Technology, китайським виробником телевізійних приставок, який був офіційним партнером компанії та сертифікованим виробником Android-пристроїв. Причиною стало виявлення шкідливого програмного забезпечення XCPE, яким було заражено понад 1,3 мільйона Android TV приставок. Відповідний звіт Google Threat Intelligence було опубліковано 2 листопада.
За висновками Google, Videostrong не лише стала джерелом загрози, а й сама створила XCPE та встановила його на пристрої навмисно. Компанія також продавала доступ до заражених приставок кримінальним групам. Внаслідок цього Videostrong заборонено виготовляти сертифіковані Android-пристрої, а Google подала до суду з вимогою припинити роботу доменів і серверів ботнету. Саме через ці сервери зловмисники керували зараженими приставками.
Шкідливий код використовувався для шахрайства з рекламою та для створення житлових проксі, тобто мереж, через які злочинці можуть маскувати свою активність під звичайний домашній інтернет. На одному пристрої виявлено до трьох SDK, тобто програмних наборів, а оператори отримували доступ до облікових даних користувачів і могли робити знімки екрана. За оцінками, під загрозою перебуває щонайменше 10 мільйонів пристроїв, тобто доступ злочинців може охопити значно більшу кількість користувачів, ніж уже заражені приставки.
Особливу небезпеку становить те, що вірус обходив перевірки Google і активувався після першого запуску приставки. Play Protect, захисна система Android, може не виявляти XCPE, оскільки бекдор вимикає її перевірку. Видалення шкідливої програми також не дає результату: вона повторно встановлюється з прошивки після перезапуску пристрою. Для користувача це означає, що звичайного видалення застосунків недостатньо, а очистити пристрій можна лише з урахуванням самої прошивки.
Найпоширенішими серед заражених стали приставки Mecool KM9PRO Max, які були популярні серед користувачів піратського контенту. Близько половини інфікованих пристроїв щодня виходять на зв'язок із серверами, які контролюють зловмисники. Більшість із них розташовані в Малайзії, Мексиці та Бразилії, проте є й у Сполучених Штатах. XCPE також виявляли на пристроях для телемедицини, караоке та рекламних панелях, тобто шкідлива програма поширилася далеко за межі домашніх розважальних приставок.
Дослідники компанії Synthient радять користувачам відключити заражені пристрої від мережі та оновити прошивку маршрутизатора. Ця історія показує, наскільки вразливими можуть бути навіть сертифіковані пристрої, якщо виробник сам стає джерелом загрози. Для ринку телевізійних приставок це також сигнал про необхідність жорсткішого контролю над тим, що встановлюється на пристрої ще на етапі виробництва.