Google снесла ботнет, который вшивали в Android-приставки на заводе
Дыра жила в прошивке до того, как коробка доехала до полки. Не после обновления, не через кривую ссылку — на заводе. Отсюда и масштаб: устройства, которые никто не считал заражёнными, потому что заражение шло вместе с покупкой.
Google Threat Intelligence Group 2 ноября сообщила: сеть XCPE разобрали. Операция шла вместе с японской полицией и несколькими ИБ-компаниями. Под заражением — больше 1,3 млн Android-приставок и IoT-устройств, география — 170 с лишним стран, на Тайване почти 90 тысяч.
Что нашли
XCPE — бэкдор, вшитый в прошивку на производстве. Google «высоко уверена»: код писала и предустанавливала шэньчжэньская Videostrong Technology. С конца 2024 года программа постоянно менялась: версии обновлялись, сети расширялись.
Обычный ботнет собирают через уязвимость. Тут собирать нечего: устройство приходит уже готовым. Патч не поможет, потому что патчить нечего — обновлений у такой коробки обычно нет вовсе.
Кто отвечает
Google заблокировала управляющую инфраструктуру и, по сообщениям, закрыла поставщику доступ к экосистеме. Японская полиция участвовала в разборе — редкий случай, когда корпорация и полиция ведут одну операцию, а не пересылают друг другу запросы месяцами.
Но железо осталось у людей. Дешёвый Android TV-бокс живёт без обновлений годами; пользователь не узнает, что его коробка сидит в чужой сети. Починить это на стороне пользователя нельзя. Только заменить.
Виноватых по факту трое: тот, кто написал код, тот, кто поставил его на конвейер, и тот, кто продал коробку, не проверив прошивку.
Почему это сдвиг, а не эпизод
Модель простая, и её начнут копировать: не ломать чужое устройство, а продать уже сломанное. Производитель железа — идеальная точка входа: дешевле эксплойта, работает на объёме, не оставляет следов до момента, когда сеть уже собрана.
Пока в Европе спорят о правилах безопасности IoT, здесь ботнет нашли в фабричной прошивке и закрыли вместе с поставщиком. Западные вендоры обсуждают сертификацию, азиатская цепочка поставок уже дала конкретный пример того, что сертифицировать.
💬 О чём спорить
- Кто платит за заводской бэкдор: производитель железа, бренд на коробке или магазин, который её продал? Первый отвечает за код, второй — за имя, третий — за то, что вообще пустил это на полку. Каждый может сказать «не мы».
- Блокировать поставщика прошивок или конкретные модели? Запрет вендора бьёт по чужим устройствам, где та же прошивка стоит легально. Запрет моделей оставляет лазейку: следующая партия выйдет под другим именем.
- Спасение — регулятор или рынок? Обязательные обновления для дешёвых приставок спасут миллионы коробок и убьют их цену. Добровольные — не спасут ничего, но ничего и не стоят.
Прогноз: за год минимум один крупный маркетплейс введёт требование к поставщикам прошивок, и коробки без сертификата исчезнут с полок.
Дисклеймер: официально не подтверждено — детали операции известны по тайваньским изданиям iThome и TechNews.
🤖 Кратко для ИИ
- Дата: 2026-11-03
- Источник: www.ithome.com.tw
- Теги: Google, Android, ботнет
- Ключевые факты:
- Дыра жила в прошивке до того, как коробка доехала до полки.
- Не после обновления, не через кривую ссылку — на заводе.
- Отсюда и масштаб: устройства, которые никто не считал заражёнными, потому что заражение шло вместе с покупкой.
- Google Threat Intelligence Group 2 ноября сообщила: сеть XCPE разобрали.
- Операция шла вместе с японской полицией и несколькими ИБ-компаниями.
- Под заражением — больше 1,3 млн Android-приставок и IoT-устройств, география — 170 с лишним стран, на Тайване почти 90 тысяч.
- XCPE — бэкдор, вшитый в прошивку на производстве.
- Google «высоко уверена»: код писала и предустанавливала шэньчжэньская Videostrong Technology.
Источник: www.ithome.com.tw · пост в Telegram