Google 2 ноября раскрыла устройство XCPE — сети из более чем 1,3 млн заражённых ТВ-приставок. По оценке исследователей с высокой степенью уверенности, производитель Videostrong намеренно встраивал вредоносное ПО в устройства и продавал доступ к ним преступным партнёрам. Операцию по отключению инфраструктуры Google и другие участники провели на прошлой неделе.

Вредонос находился в прошивке и работал с системными правами. Удаление установленного приложения не решало проблему: после перезагрузки оно восстанавливалось из служебного раздела. Дополнительные модули превращали приставки в узлы прокси-сетей — через домашнее подключение владельца шёл чужой трафик — и накручивали просмотры рекламы. Google также наблюдала снятие скриншотов и извлечение данных, включая сведения об аккаунтах.

Компания признала, что маскировка и загрузка вредоносного кода после первого запуска позволяли обходить её проверки устройств. Теперь Google меняет проверку прошивок и запретила Videostrong выпускать сертифицированные Android-устройства или поставлять ПО другим сертифицированным производителям.

Отключение управляющих серверов прерывает связь с операторами, но само по себе не удаляет вредонос из прошивки. Google предупреждает: устойчивый результат потребует дальнейшей борьбы с инфраструктурой связанных сетей.