TECHNOLOGIE

Chiński producent ukrywał backdoor w Android TV – 1,3 mln urządzeń w globalnym botnecie

Analiza

W ostatnich dniach świat cyberbezpieczeństwa potwierdził jedno z najbardziej zaskakujących odkryć ostatnich miesięcy – chiński producent urządzeń multimedialnych Videostrong Technology celowo wbudowywał złośliwe oprogramowanie w firmware swoich dekoderów Android TV. Botnet XCPE, którego działanie udało się zakłócić dzięki międzynarodowej akcji Google Threat Intelligence, japońskiej policji oraz specjalistów z branży cyberbezpieczeństwa, objął ponad 1,3 miliona urządzeń w 206 modelach, rozproszonych w 200 krajach. Kluczowym elementem ataku była tzw. tylna furtka (backdoor) o nazwie x.cpe lub com.oemservice, która działała z uprawnieniami systemowymi i przywracała się automatycznie po każdym restarcie urządzenia, nawet po próbie usunięcia przez użytkownika. Mechanizm ten opierał się na chronionej partycji OEM, co uniemożliwiało jej usuwanie standardowymi metodami. Backdoor nawiązywał połączenie z infrastrukturą sterującą za pomocą protokołu MQTT, umożliwiając operatorom zdalne instalowanie aplikacji, wykonywanie poleceń oraz zbieranie danych z sieci domowych użytkowników. Warto podkreślić, że złośliwy kod nie był wynikiem błędów użytkowników, takich jak phishing czy słabe hasła, ale został wbudowany już na etapie produkcji. Google potwierdziło, że Videostrong Technology, certyfikowany producent urządzeń z Androidem, świadomie współpracował z grupami przestępczymi, oferując dostęp do backdoora w ramach botnetu. Koncern zerwał współpracę z firmą i zakazał jej dalszej produkcji certyfikowanych urządzeń. Dodatkowo, botnet XCPE był częścią szerszego ekosystemu przestępczego, w którym wcześniej działał znany botnet BadBox 2.0, zainfekowujący ponad 10 milionów urządzeń przed jego zablokowaniem w marcu 2025 roku. Zainfekowane urządzenia były wykorzystywane do oszustw reklamowych, tworzenia sieci residential proxy oraz dystrybucji dodatkowego malware. Największe zagrożenie dotyczyło tanich, niecertyfikowanych dekoderów Android TV, które często pochodziły z niepewnych źródeł i nie były objęte regularnymi aktualizacjami firmware. Według danych TrendAI, najwięcej zainfekowanych urządzeń odnotowano w Malezji, Brazylii, Iraku, Meksyku i na Tajwanie, podczas gdy w krajach takich jak Stany Zjednoczone, Niemcy czy Wielka Brytania liczba ta wynosiła od 26 do 42 tysięcy urządzeń. Wśród zainfekowanych modeli znalazły się również urządzenia z innych branż, takich jak sprzęt telemedyczny czy cyfrowe nośniki reklamowe, co wskazuje na skalę i zasięg problemu.

Kontekst i Tło

Zlikwidowanie botnetu XCPE to jedno z największych osiągnięć międzynarodowej współpracy w walce z cyberprzestępczością w ostatnich latach, jednak jego skutki będą odczuwalne jeszcze przez długi czas. Przede wszystkim, zdradzenie przez chińskiego producenta zaufania systemu Android i świadome włączanie backdoorów w urządzenia pokazuje, jak głęboko cyberprzestępcy mogą wnikać w łańcuch dostaw technologii. Dla użytkowników najważniejszym wnioskiem jest konieczność unikania tanich, niecertyfikowanych urządzeń, szczególnie tych pochodzących z niepewnych źródeł, ponieważ reset fabryczny nie gwarantuje usuwania złośliwego oprogramowania. Google podkreśla, że nawet wymiana sprzętu na urządzenia od renomowanych producentów nie jest wystarczająca, jeśli nie są one regularnie aktualizowane. Wydarzenie to również podkreśla rosnącą rolę botnetów w cyberprzestępczości, gdzie zainfekowane urządzenia są wykorzystywane nie tylko do ataków, ale także do maskowania innych działań przestępczych, takich jak oszustwa reklamowe czy tworzenie sieci proxy. Dla branży technologicznej jest to ostrzeżenie przed koniecznością jeszcze bardziej rygorystycznego monitorowania łańcucha dostaw i certyfikacji producentów, aby zapobiec podobnym incydentom w przyszłości.

Komentarz Redakcji

Absurd sytuacji polega na tym, że użytkownicy nie mieli żadnego wpływu na to, co się stało – nie klikali podejrzanych linków, nie używali słabych haseł, a przecież ich urządzenia stały się częścią globalnego botnetu. To nie tylko kwestia cyberbezpieczeństwa, ale także zaufania do całego ekosystemu technologicznego. Kiedy producenci świadomie wprowadzają backdoor w urządzenia, które trafiają do milionów domów, to nie tylko zagrożenie dla prywatności, ale także poważne wyzwanie dla bezpieczeństwa cyfrowego jako takiego.