Зараженные приставки могли выполнять команды злоумышленников, пока владельцы смотрели фильмы или пользовались другими приложениями. Устройства превращались в узлы резидентных прокси: через домашнее интернет-соединение и IP-адрес пользователя преступники могли направлять сторонний трафик. Другие вредоносные модули задействовали приставки в рекламном мошенничестве — имитировали просмотры и переходы ради незаконной прибыли. Вдобавок устройства загружали новое вредоносное ПО.
Операторы ботнета могли удаленно выполнять системные команды, делать снимки экрана, имитировать нажатия клавиш и собирать сведения об устройстве и домашней сети. При этом сертификация Google не помогла защитить приставки: Videostrong маскировала вредоносный код, чтобы обойти проверки, и активировала его только после первого запуска устройства. Google считает, что компания намеренно распространяла вредоносное ПО на протяжении нескольких лет. Производитель также продавал доступ к зараженным приставкам другим преступным группам для проведения кибератак и мошеннических операций.
В числе затронутых устройств Google и ее партнеры обнаружили разные модели и марки Android-приставок. Среди них — Mecool KM2, KM2 Plus, KM6, KM7 и KM9 Pro, которые продавались в том числе в российских магазинах и на маркетплейсах. Помимо телевизионных приставок, вредоносное ПО нашли в устройствах для телемедицины, караоке-системах и цифровых рекламных дисплеях.
Связать бэкдор XCPE с компанией Videostrong помогло расследование специалистов Synthient. В конце 2025 года они купили приставку Mecool KM9PRO Max на Android TV и обнаружили на ней вредоносную программу.
В ходе расследования специалисты нашли в открытом доступе каталог с другими бэкдорами. В одной из его папок лежал PDF-файл, автором которого был указан Оуэн Цао — директор по исследованиям и разработке Videostrong. Нашлись и другие совпадения.
Домен Videostrong был связан с тем же IP-адресом, что и сервер, через который злоумышленники управляли бэкдором. Кроме того, для цифровой подписи вредоносных программ использовали адреса электронной почты компании. Эти данные указывают на то, что речь шла о целенаправленных действиях компании, а не о случайной ошибке или самодеятельности отдельного сотрудника.
Google совместно с Национальным полицейским агентством Японии и другими компаниями пресекла работу инфраструктуры управления ботнетом и заблокировала вредоносные модули. По оценке компании, блокировка доменов управляющих серверов также лишила доступа к ним как минимум 10 млн других скомпрометированных устройств. Они использовали те же модули, но не входили непосредственно в ботнет XCPE. Google также разорвала отношения с Videostrong и запретила компании и ее будущим аффилированным структурам выпускать устройства с сертифицированными сервисами Google.
Даже после блокировки серверов управления вредоносная программа остается на приставках. Ее основной компонент встроен в прошивку и может восстановиться после перезагрузки, даже если удалить его из памяти устройства. Поэтому обычный сброс настроек не гарантирует очистку — потребуется установить безопасную прошивку. Google советует покупать устройства у проверенных производителей, скачивать приложения из надежных источников и использовать Google Play Protect.
