Google narušil botnet XCPE a vylúčil Videostrong z certifikovaného Android ekosystému

Google Threat Intelligence Group 3. novembra uviedol, že spolu s partnermi narušil botnet XCPE, ktorý mal zahŕňať viac než 1,3 milióna zariadení, prevažne Android TV set-top boxov. Súčasne zakázal výrobcovi Videostrong a jeho budúcim dcérskym či pridruženým spoločnostiam vyrábať a predávať certifikované Android zariadenia alebo dodávať softvér ďalším certifikovaným výrobcom.

Podľa Google nešlo o bežnú nákazu spôsobenú stiahnutou aplikáciou. Komponent označovaný ako x.cpe, niekedy com.oemservice, bol predinštalovaný priamo vo firmvéri zariadení so systémovými oprávneniami. Mal schopnosť sťahovať ďalšie moduly, čo útočníkom umožňovalo rozširovať funkcie kompromitovaných zariadení.

Botnet XCPE a zásah do riadiacej infraštruktúry

Google podal právne kroky proti doménam a serverom, ktoré riadili XCPE. Opatrenie sa týkalo aj C2 domén využívaných viac než tuctom malvérových rodín distribuovaných cez tieto zadné vrátka. C2, teda command-and-control infraštruktúra, slúži na komunikáciu medzi operátormi a kompromitovanými zariadeniami.

Narušenie takejto infraštruktúry môže obmedziť aktuálne riadenie botnetu. Samo osebe však nepotvrdzuje, že boli vyčistené všetky dotknuté zariadenia. Google zatiaľ nezverejnil univerzálnu opravu pre vlastníkov týchto zariadení.

Keďže sa škodlivý komponent nachádzal vo firmvéri, jeho odstránenie bežným odinštalovaním aplikácie podľa dostupných analýz nemusí byť možné. Google zároveň neuviedol úplný zoznam konkrétnych modelov alebo jednotlivých kusov, ktoré zostávajú infikované. Samotný názov modelu preto nie je dôkazom kompromitácie konkrétneho zariadenia.

Zadné vrátka našli aj v zakúpenom zariadení MECOOL

Nezávislá výskumná firma Synthient uviedla, že vo vzorke zariadenia MECOOL KM9PRO Max, ktorú zakúpila koncom roka 2025, našla predinštalované zadné vrátka. Firma odhadla najmenej 1,3 milióna kompromitovaných zariadení. Jej zistenia sa zhodujú s rozsahom, ktorý vo svojom oznámení uviedol Google.

Google aj Synthient spájajú operáciu s Videostrongom s vysokou mierou istoty. Tvrdenie, že spoločnosť botnet zámerne vytvorila a prevádzkovala, však predstavuje hodnotenie týchto výskumníkov a Google; nejde o súdne zistenie ani o verejne oznámené stanovisko Videostrongu.

Podľa Google mohla byť infraštruktúra využitá na reklamné podvody, poskytovanie rezidenčných proxy služieb a nasadzovanie ďalšieho malvéru. Pri rezidenčných proxy sa internetová komunikácia presmerúva cez pripojenia kompromitovaných používateľských zariadení, čím môže získavať dôveryhodnejší pôvod než prevádzka z dátového centra.

Google mení kontroly certifikovaných Android TV zariadení

Prípad sa týka dodávateľského reťazca spotrebnej elektroniky: škodlivý kód mohol byť súčasťou firmvéru už v zariadení ponúkanom na predaj. Google uviedol, že po zisteniach zmenil kontroly certifikovaných Android TV zariadení. Výrobca mal podľa spoločnosti obchádzať testovanie tým, že škodlivý kód aktivoval až po prvom spustení.

Certifikácia Android zariadenia tak v tomto prípade neznamenala, že sa škodlivý komponent nemohol dostať do firmvéru po absolvovaní príslušných testov. Google zakázal Videostrongu ďalšie pôsobenie v certifikovanom Android ekosystéme, no oznámenie nešpecifikuje, aké opatrenia budú dostupné pre vlastníkov už predaných zariadení.

Čo bude nasledovať

Ďalší vývoj bude závisieť najmä od zverejnenia technických a právnych detailov zásahu. Google alebo príslušné orgány môžu doplniť informácie o doménach a serveroch, proti ktorým smerovali právne kroky. Dôležité bude aj to, či Videostrong zverejní stanovisko alebo bude zistenia Google a Synthient napádať.

Otvorené zostáva, či výrobcovia a predajcovia zverejnia zoznamy dotknutých modelov, stiahnu zariadenia z predaja, ponúknu výmenu alebo pripravia bezpečnostné aktualizácie. Výskumníci budú zároveň sledovať, či sa po zásahu objavia náhradné C2 domény alebo nové varianty malvéru.

Overené a aktualizované: 03. 11. 2026 06:22