Android TV: Botnet XCPE okužil več kot 1,3 milijona naprav

Zlonamerna koda XCPE je bila vgrajena že v programsko opremo naprav

Google je 2. novembra razkril omrežje XCPE z več kot 1,3 milijona okuženih televizijskih sprejemnikov Android. Zlonamerna koda je bila vgrajena v programsko opremo naprav, Google pa je skupaj s partnerji prekinil del infrastrukture napadalcev.

Google Threat Intelligence Group je 2. novembra 2026 objavila rezultate preiskave obsežnega omrežja okuženih televizijskih sprejemnikov in drugih naprav z operacijskim sistemom Android. Po navedbah raziskovalcev je zlonamerna programska oprema XCPE omogočala trajen oddaljeni dostop do več kot 1,3 milijona naprav, ki so bile vključene v botnet. Google in partnerji so v tednu pred objavo izvedli usklajene ukrepe proti upravljavski infrastrukturi omrežja, vendar natančnega dne operacije niso navedli. Pomembno je, da okužba ni bila posledica običajnega prenosa sumljive aplikacije: škodljiva komponenta je bila prisotna že v sistemski programski opremi nekaterih naprav.

Primer osvetljuje tveganja, ki jih predstavljajo pametne naprave z nepreverjenim izvorom programske opreme. Uporabnik lahko napravo kupi kot povsem običajen televizijski sprejemnik in pri njenem prvem zagonu ne opazi ničesar nenavadnega. Naprava lahko medtem brez njegove vednosti vzpostavi povezavo z zunanjim strežnikom in sprejema dodatna navodila. Zato je ta primer pomemben tudi za domača omrežja, ne samo za velike organizacije.

Kako je delovalo omrežje okuženih naprav XCPE?

Osrednja komponenta napada je bila škodljiva programska oprema x.cpe, v nekaterih različicah poimenovana com.oemservice. Po Googlovih ugotovitvah je bila nameščena v sistemskem delu vdelane programske opreme in je delovala s sistemskimi privilegiji. Po zagonu naprave je vzpostavila komunikacijo z oddaljeno infrastrukturo za upravljanje ter omogočila prenos dodatnih modulov. Ta zasnova je napadalcem zagotavljala dostop, ki se ni opiral na uporabnikovo odpiranje sumljivih povezav ali dovoljevanje namestitve posamezne aplikacije.

V različnih obdobjih je XCPE uporabljal ločeno komponento com.abc.nexus oziroma novejše programe za dostavo posameznih škodljivih modulov. Z njihovo pomočjo so operaterji lahko prikrito nameščali aplikacije, izvajali ukaze, zbirali podatke o napravi in preverjali njeno omrežno okolje. Google opisuje tudi primere zajemanja zaslonskih slik, vnosa tipk in pridobivanja podatkov o računih. Naštete so dokumentirane zmožnosti oziroma opažene dejavnosti v preiskovanem omrežju, ne dokaz, da je bila vsaka okužena naprava uporabljena za vse te namene.

Takšna infrastruktura je povezana s širšim pojavom botnetnih omrežij, v katerih napadalci združujejo veliko naprav za izvajanje nalog brez soglasja njihovih lastnikov. Televizijski sprejemnik je za takšno uporabo priročen, ker je pogosto stalno priključen na internet in ga uporabnik redkeje varnostno pregleduje kot telefon ali računalnik. Naprava lahko navzven še naprej predvaja vsebine, medtem ko v ozadju izvaja druge naloge. Zato normalno delovanje zaslona ni dokaz, da je sistem varen.

Za kaj so napadalci uporabljali okužene televizijske sprejemnike?

Po Googlovem poročilu je omrežje XCPE delovalo tudi kot platforma za druge kriminalne skupine, ki so prek dodatnih modulov uporabljale okužene naprave. Eden od načinov zaslužka so bile oglaševalske goljufije, pri katerih škodljiva programska oprema ustvarja lažne oglede ali druge oglaševalske aktivnosti. Drug način je bilo vključevanje naprav v stanovanjska posredniška omrežja, prek katerih so tretje osebe usmerjale promet z internetnih naslovov dejanskih uporabnikov. Napadalci so lahko namestili še dodatne programe, ki so omogočali nove zlorabe.

Pri uporabi naprave kot posredniškega strežnika lahko promet druge osebe navzven izgleda, kot da prihaja iz domačega internetnega priključka lastnika televizijskega sprejemnika. To lahko oteži razlikovanje med dejavnostjo uporabnika in dejavnostjo neznanega tretjega akterja. Podobna tveganja smo na iVarnost.si že obravnavali ob ukrepih proti omrežju NetNut. Primer XCPE pa je poseben zato, ker je bil dostop po ugotovitvah raziskovalcev vgrajen neposredno v programsko opremo naprav.

Google ocenjuje, da so ukrepi proti infrastrukturi dodatnih škodljivih modulov prekinili dostop do najmanj desetih milijonov drugih kompromitiranih naprav. To ni dodatno potrjeno število naprav, okuženih prav z XCPE, temveč ocena vpliva na širši ekosistem povezanih zlonamernih programov, ki so se širili tudi po drugih kanalih. Številk 1,3 milijona in deset milijonov zato ni pravilno sešteti v skupno število naprav z isto okužbo. Prav tako ni javno potrjenega podatka, koliko prizadetih naprav je bilo v Sloveniji.

Kaj so raziskovalci ugotovili o proizvajalcu Videostrong?

Google z visoko stopnjo zaupanja ocenjuje, da je podjetje Videostrong Technology namerno razvijalo in v naprave vgrajevalo škodljivo programsko opremo ter prodajalo dostop do njih drugim akterjem. To je atribucijska ugotovitev Googlove preiskave, ne neodvisno ugotovljena sodna odgovornost proizvajalca. Raziskovalna skupina Synthient je v ločeni analizi opisala preiskavo naprav MECOOL in tehnične povezave, ki so jih pripeljale do istega podjetja. Pri tem ni upravičeno sklepati, da je vsak izdelek z oznako Android TV ali vsak izdelek posamezne blagovne znamke okužen.

Google navaja, da je Videostrong uporabljal tehnike prikrivanja, s katerimi je škodljiva koda prestala oziroma obšla del postopkov preverjanja in se aktivirala po prvem zagonu. Podjetje Google je zato prekinilo sodelovanje z Videostrong in mu onemogočilo nadaljnjo izdelavo oziroma dobavo naprav in programske opreme v okviru svojega certificiranega ekosistema. Napovedalo je tudi izboljšave preverjanja celovitosti programske opreme naprav Android TV. Ta odziv je pomemben, ker kaže na tveganje v proizvodni in dobavni verigi, ki ga običajna previdnost uporabnika pri nameščanju aplikacij ne more povsem preprečiti.

Zakaj odstranitev aplikacije ali ponastavitev morda ne zadostuje?

Pri XCPE je bistven položaj škodljive kode v vdelani programski opremi naprave. Google pojasnjuje, da se je osnovna komponenta lahko ponovno namestila iz sistemske particije /oem/, če jo je uporabnik odstranil iz običajnega dela sistema. Zato brisanje sumljive aplikacije ne pomeni nujno trajnega odstranjevanja okužbe. Tudi ponastavitev na tovarniške nastavitve sama po sebi ni zanesljiva rešitev, če obnovi enako okuženo sistemsko sliko.

Za razliko od običajnih varnostnih posodobitev je pri takšni okužbi pomembno, ali proizvajalec zagotavlja resnično čisto in zaupanja vredno novo programsko opremo. Če zanjo ni preverljivega vira ali obstaja utemeljen sum, da je naprava del znanega okuženega sklopa, je varneje napravo izključiti iz omrežja in jo prenehati uporabljati. Naključno nameščanje neuradnih sistemskih slik lahko stanje še poslabša. Organizacije naj pri takšnih napravah upoštevajo tudi morebitne povezave do poslovnih sistemov in dostopov.

Kako preveriti in zaščititi domače ali poslovno omrežje?

Uporabniki naj najprej preverijo, katere televizijske sprejemnike, projektorje in druge naprave Android imajo povezane v svoje omrežje. Posebno pozornost zaslužijo naprave nejasnega proizvajalca, brez rednih varnostnih posodobitev ali brez zanesljivo preverljivega izvora programske opreme. Google omogoča preverjanje statusa certificiranja Play Protect v aplikaciji Trgovina Play, običajno pod profilom, nastavitvami in razdelkom Vizitka. Ta podatek ni varnostni pregled naprave in ne more zanesljivo potrditi ali izključiti okužbe XCPE. Primer kaže, da tudi postopki preverjanja programske opreme niso nezmotljivi. Če je okužba določenega modela potrjena in zanj ni zaupanja vredne čiste posodobitve, je najvarnejša rešitev umik naprave iz uporabe.

Preverite model in izvor naprave ter poiščite uradne informacije o programski opremi in morebitnih varnostnih opozorilih.
Sumljivo napravo odklopite iz omrežja, dokler ni mogoče preveriti njenega stanja ali pridobiti zaupanja vredne odprave težave.
Ločite naprave IoT od pomembnih sistemov, na primer z gostujočim oziroma ločenim omrežjem, če usmerjevalnik to omogoča.
Posodobite usmerjevalnik in preverite račune, ki so bili uporabljeni na sumljivi napravi; če obstaja sum razkritja, zamenjajte ustrezna gesla.

Pri tem je pomembna tudi širša varnost naprav IoT. Za podjetja to pomeni pregled naprav v sejnih sobah, sprejemnih prostorih in drugih delih omrežja, kjer se televizijski sprejemniki pogosto obravnavajo zgolj kot oprema za prikaz slike. Če se taka naprava povezuje z internetom, mora biti vključena v osnovni popis sredstev in pravila omrežnega dostopa. Zmanjšanje tveganja ne zahteva ugibanja o okužbi vsake naprave, temveč preverljiv izvor, omejitev dostopov in pravočasno odstranitev nezaupanja vredne opreme.

Googlova operacija je omejila delovanje konkretne kriminalne infrastrukture, ne zagotavlja pa, da je škodljiva koda izginila iz že prodanih naprav. Primer XCPE zato opozarja na posebno vrsto tveganja: uporabnik lahko nevarno programsko opremo dobi skupaj z izdelkom in je ne more odpraviti z običajnim brisanjem aplikacij. Pri nakupu in uporabi pametnih naprav je poleg cene in funkcij pomembna tudi odgovornost proizvajalca za preverljivo, posodobljivo in zaupanja vredno programsko opremo.