Google зупинив ботнет XCPE на 1,3 млн Android TV-приставок
2 листопада 2026 року Google повідомив про масштабне припинення роботи інфраструктури ботнету XCPE, до якого потрапили понад 1,3 мільйона Android-пристроїв, переважно телевізійних приставок. За висновками Google Threat Intelligence Group, виробник обладнання Videostrong навмисно вбудовував у прошивки прихований механізм віддаленого керування, а доступ до заражених пристроїв передавав стороннім учасникам злочинної екосистеми. Історія особливо тривожна тим, що серед уражених були й пристрої, які проходили процедуру сертифікації Google. Припинення зв’язку із серверами нападників не означає автоматичного видалення шкідливого коду з кожної приставки.
У цьому матеріалі
Що саме підтвердив Google 2 листопада
У власному технічному звіті від 2 листопада Google описав операцію, проведену попереднього тижня разом із партнерами та правоохоронцями. Компанія домоглася блокування доменів і серверів, через які керували ботнетом XCPE та завантажували додаткові шкідливі компоненти. Водночас виробнику Videostrong і пов’язаним із ним майбутнім структурам заборонили випускати сертифіковані Android-пристрої з попередньо встановленими застосунками Google або постачати програмне забезпечення іншим сертифікованим виробникам. Це вже виконані заходи, а не лише анонс розслідування.
Google стверджує, що має високу впевненість у навмисному характері кампанії. У різних моделях і під різними торговими назвами дослідники виявляли схожий механізм упродовж кількох років. Ідеться не про випадкове завантаження зараженого APK користувачем і не про звичайну вразливість однієї програми. Небезпечний компонент потрапляв до програмного забезпечення пристрою ще до продажу. Саме тому відповідальність за безпеку не можна перекласти лише на власників приставок, які купували техніку для перегляду відео.
Як прихований компонент опинявся в приставці
У звіті описано програму x.cpe, яка в окремих збірках маскувалася під системний сервіс com.oemservice. Вона працювала з високими системними привілеями та була вбудована в розділи прошивки. Після запуску приставка могла отримувати віддалені налаштування й підключатися до інфраструктури керування. Окремий завантажувач, зокрема com.abc.nexus у досліджених версіях, відповідав за запуск додаткових модулів. Таку архітектуру було складніше виявити звичайними перевірками, адже частина небажаного коду надходила вже після першого ввімкнення.
Для власника це означає, що навіть акуратне використання офіційних застосунків не гарантувало захисту, якщо пристрій уже мав заражену прошивку. Google пояснив: Videostrong застосовував приховування коду та скористався прогалиною в перевірках сумісності й безпеки. Внаслідок цього шкідливі компоненти могли з’явитися після завершення стандартного тестування. Точну кількість сертифікованих моделей серед усіх заражених компанія не назвала, тому некоректно вважати небезпечними всі Android TV-пристрої або, навпаки, усі приставки без сертифікації.
Навіщо зловмисникам домашні телевізійні приставки
Найпоширеніший сценарій заробітку полягав у перетворенні домашнього інтернет-з’єднання на вузол так званої резидентської проксі-мережі. Через такий вузол сторонні клієнти могли передавати власний трафік, який ззовні виглядав як активність звичайної домашньої IP-адреси. Власник телевізора або приставки при цьому міг нічого не помічати. Це створює не лише додаткове навантаження на мережу, а й ризик того, що підозрілі дії третіх осіб будуть асоціюватися з домашнім підключенням.
Інші модулі використовували пристрої для рекламного шахрайства: приховано відкривали сторінки або імітували перегляди оголошень. Google також зафіксував можливості віддаленого виконання команд, створення знімків екрана, збору інформації про облікові записи та встановлені програми. Наявність технічної можливості не доводить, що кожну дію виконали на кожному зараженому пристрої. Проте сукупність цих функцій пояснює, чому дослідники вважають кампанію серйозною загрозою приватності, а не просто нав’язливою рекламою.
Чому в повідомленнях фігурують 1,3 та 10 мільйонів
Дві цифри в заголовках легко переплутати. Понад 1,3 мільйона — це масштаб безпосередньо виявленого ботнету XCPE, який Google і партнери пов’язують із зараженими приставками та іншими Android-пристроями. Окремо Google оцінив, що блокування серверів додаткових шкідливих модулів може відрізати злочинцям доступ щонайменше до 10 мільйонів інших скомпрометованих пристроїв. Ці модулі розповсюджувалися не тільки через XCPE, а й через інші канали.
Отже, формулювання «10 мільйонів заражених Android TV-приставок» було б неправильним. Дослідницька компанія Synthient, яка брала участь у розслідуванні, оцінила кількість пристроїв із бекдором щонайменше у 1,3 мільйона, а приблизно пів мільйона з них — як активні онлайн на момент спостереження. Оцінки різних учасників можуть використовувати різні періоди й методики підрахунку. Для користувача важливіше не округлення, а те, чи конкретний пристрій має уражену прошивку.
Які бренди та моделі згадуються в розслідуванні
Synthient придбала приставку MECOOL KM9PRO Max і під час аналізу виявила в ній попередньо встановлений com.oemservice. Дослідники пов’язали діяльність бренду та виробничої інфраструктури з Videostrong. Водночас постачання пристроїв під різними назвами — поширена практика ринку: один виробник може створювати обладнання для кількох продавців. Тому назва на корпусі не завжди збігається з назвою компанії, що підготувала прошивку.
Однак і зворотне твердження було б хибним: сам збіг назви моделі з дослідницьким списком не є безумовним доказом зараження кожного екземпляра. Можливі різні апаратні ревізії, версії програмного забезпечення та партії. Публічні списки індикаторів корисні для спеціалістів, але власнику слід зіставляти повний номер моделі, версію прошивки та інформацію від постачальника. Поки немає підтвердження для конкретної приставки, не варто поширювати категоричні звинувачення щодо всіх товарів одного бренду.
Чому позначка сертифікації не стала абсолютним захистом
Сертифікація Android TV передбачає перевірки сумісності й вимог до безпеки, але не може гарантувати відсутність будь-яких порушень у майбутніх збірках прошивки. У цьому випадку, за поясненням Google, зловмисний компонент приховали так, щоб він не спрацьовував під час звичайного тестування, а активувався вже після першого запуску пристрою. Компанія оголосила про посилення перевірки цілісності прошивок сертифікованих приставок. Це реакція на конкретний недолік процесу, а не свідчення зараження всієї платформи.
Для покупця важливо розрізняти три поняття: операційну систему Android, офіційно сертифіковану екосистему Android TV або Google TV та несертифіковані пристрої, які лише використовують Android із телевізійним інтерфейсом. Наявність напису на упаковці сама собою не підтверджує статус сертифікації. Перевіряти виробника й партнера краще за офіційним переліком Android. Водночас навіть підтверджена сертифікація не скасовує необхідності оновлень безпеки й підтримки від виробника.
Чи зникла небезпека після блокування серверів
Знешкодження інфраструктури керування — вагомий результат, але його не слід плутати з очищенням пам’яті всіх пристроїв. Google повідомляє про припинення роботи серверів, які роздавали команди та модулі. Водночас x.cpe розміщувався в системних розділах і в досліджених версіях міг відновлюватися після перезавантаження. Якщо на пристрої залишився такий компонент, сам факт відключення колишнього сервера не доводить, що прошивка тепер безпечна назавжди.
Крім того, додаткові модулі могли встановити інші шкідливі програми, а оператори злочинної інфраструктури здатні змінювати способи зв’язку. Тому небажано робити висновок «приставку можна залишити без жодних дій» лише з повідомлення про успішну операцію. Google називає її важливим ударом по кампанії, але прямо застерігає, що протидія такій екосистемі потребує тривалої роботи. Це не оголошення про гарантоване вилікування кожного телевізора чи медіаплеєра.
Що перевірити власнику Android TV або Google TV
Почати варто з інвентаризації: з’ясувати точну назву моделі, виробника, версію системи та дату останнього оновлення прошивки. Якщо пристрій належить до згаданих у дослідженні лінійок, доцільно перевірити офіційні повідомлення виробника і звернутися до його підтримки щодо безпечної прошивки. Не потрібно встановлювати випадкові файли з форумів, які обіцяють «видалити XCPE»: неперевірений образ системи може додати нові проблеми. Важливий також перелік підключених до домашньої мережі пристроїв, який часто доступний у налаштуваннях маршрутизатора.
Як загальні запобіжні дії Google рекомендує залишати активним Play Protect, користуватися довіреними магазинами застосунків і переглядати дозволи сторонніх VPN та проксі. Якщо приставка поводиться підозріло або її прошивка підтверджено уражена, найобережніший перший крок — від’єднати її від інтернету. У разі підозри на витік даних доцільно змінити паролі важливих облікових записів із іншого, перевіреного пристрою та переглянути активні сеанси входу. Ці дії знижують ризики, але не замінюють очищення чи заміни зараженої прошивки.
Окремої уваги потребує домашня мережа: телевізійні приставки, камери й інші IoT-пристрої бажано відділяти від комп’ютерів із робочими файлами, якщо маршрутизатор підтримує гостьову мережу або сегментацію. Це не універсальний захист від будь-якого шкідливого ПЗ, проте може обмежити можливості небажаного доступу між пристроями. Для вибору медіаплеєра важливо дивитися не лише на швидкість і підтримку відеоформатів, а й на оновлення та походження прошивки — ці аспекти доповнюють порівняння медіаплеєрів для телевізора.
Чи допоможуть заводське скидання й антивірус
Заводське скидання може прибрати деякі додатково встановлені застосунки, але не обов’язково видаляє код, закладений у системний розділ виробником. Google описує механізм, за якого x.cpe відновлюється з розділу /oem після перезавантаження. Саме тому порада «скиньте приставку й забудьте» була б ненадійною. Навіть якщо підозрілі симптоми зникли, це не є доказом, що прихований сервіс більше не працює.
Підхід залежить від підтвердженого стану конкретної моделі. Якщо виробник надає перевірене виправлення, слід користуватися лише офіційним каналом оновлень. Якщо пристрій ідентифіковано як заражений, а надійного способу усунення немає, Synthient радить припинити використання такого обладнання й замінити його. Це суворіша рекомендація дослідників, а не загальна вимога Google до всіх приставок. Видалення звичайної програми з меню Android також не гарантує результату, коли причина міститься в прошивці.
Чим цей випадок відрізняється від зараження через APK
У звичайній історії зі шкідливим застосунком користувач може випадково встановити небезпечний файл із невідомого джерела. Тут ланцюг починався раніше: небажаний код був частиною програмного забезпечення самого пристрою. Це принципова різниця, адже покупець міг дотримуватися стандартних правил обережності та все одно отримати ризик. Порівняно з проблемою сторонніх APK в Android Auto, XCPE демонструє окремий клас загроз — компрометацію ланцюга постачання.
Під час вибору підключеної техніки варто цікавитися, хто саме підтримує прошивку, чи існує прозора політика оновлень і як виробник реагує на повідомлення про вразливості. Дешевий або дорогий пристрій не стає автоматично безпечним лише через ціну; вирішальними є походження програмного забезпечення та реальна підтримка. Історія XCPE показує, що перевірка повинна охоплювати не лише застосунки, а й саму платформу, яка їх запускає.
Що відомо про Україну та наступні кроки
Google не оприлюднив у цьому повідомленні окремої підтвердженої кількості заражених приставок в Україні. Тому немає підстав називати конкретний масштаб проблеми для українських домогосподарств або стверджувати, що певна модель продавалася тут з ураженою прошивкою. Ризик стосується передусім походження обладнання й конкретної версії програмного забезпечення, а не країни проживання власника. Відсутність локальної статистики водночас не означає нульового ризику.
Головний практичний висновок такий: Google уже вдарив по керуванню ботнетом і змінив процедури перевірки виробників, але безпека конкретного пристрою потребує окремої оцінки. Власникам варто перевірити модель, оновлення та підтримку, а за підтвердженого зараження — від’єднати приставку й шукати офіційне рішення або заміну. Надалі важливо стежити за повідомленнями Google та незалежних дослідників про нові варіанти прошивок і результат блокування інфраструктури. Перебільшувати масштаб загрози так само недоречно, як і оголошувати її повністю ліквідованою.
Джерела: Google Threat Intelligence Group, 02.11.2026; 9to5Google, 02.11.2026; Synthient, 02.11.2026; The Hacker News, 02.11.2026. Обкладинка: власна редакційна типографічна графіка Top-Gadgets, не фотографія пристрою.
