Google, Plume, TrendAI™, Lumen, HUMAN Security, Synthient и Национальное полицейское управление Японии объединились в координированную операцию, объединив усилия в области безопасности, угроз и киберэкспертизы для выявления и нейтрализации ботнета X.CPE.
Город Менло-Парк, Калифорния, США, 2 ноября 2026 г. /PRNewswire/ — Сегодня группа партнеров из частного и государственного секторов объявила о координированной ликвидации X.CPE. Это глобальная ботнет-сеть, скрытая в более чем 1,3 миллионах цифровых приставок в более чем 200 странах. Вредоносная программа была внедрена в устройства до их продажи и использовала устройства и домашние интернет-соединения подписчиков без их ведома или согласия. Ликвидация была проведена под руководством Google, Plume, TrendAI™, Lumen, HUMAN Security и Synthient при участии Национальной полиции Японии.
Чарли Снайдер, руководитель операции по борьбе с угрозами от Google Threat Intelligence Group, заявил: «Такие операции повышают стоимость преступной деятельности и демонстрируют, что инфраструктура, на которую они полагаются, не является недоступной. Устранение X.CPE требует совместных усилий партнеров отрасли. Это подтверждает, что сотрудничество — один из самых мощных инструментов в борьбе с угрозами, выходящими за границы стран и отраслей».
Знакомое устройство, скрывающее неизвестную угрозу
X.CPE встроен в прошивку — программное обеспечение, управляющее базовой работой устройства, — и был внедрен до того, как приставка была доставлена подписчику. X.CPE был разработан для обхода безопасностных проверок до выхода на рынок; после этого Google обновил свои процессы проверки и запретил соответствующим производителям оборудования (OEM) и всем их будущим дочерним или аффилированным компаниям производить устройства с предустановленными приложениями Google. В отличие от угроз, зависящих от того, что пользователь открывает подозрительные вложения или устанавливает приложения, эта угроза поступает как часть самого устройства. Подписчикам не было предложено ни запросов на согласие, ни уведомлений, ни возможности отказаться.
Google, Plume, TrendAI™, Lumen, HUMAN Security и Synthient совместно с Национальной полицией Японии провели скоординированную операцию по борьбе с X.CPE. Каждое из учреждений применило свои специализированные компетенции в области безопасности подключенных устройств, анализа вредоносного ПО, сетевой видимости и цифрового мошенничества для анализа и дезактивации этого ботнета.
Эти организации совместно устранили угрозу, скрытую за кажущимися обычными действиями устройств: программное обеспечение, встроенное в цифровые приставки для телевизоров, предоставляло злоумышленникам удаленный доступ и позволяло им использовать домашние широкополосные соединения без согласия подписчиков. Эта операция по устранению также нарушила домены командования и управления, используемые для работы вредоносных модулей, связанных с преступными группировками. Поскольку эти группы также распространяли свои модули через каналы, отличные от X.CPE, Google считает, что блокировка этих доменов отрежет доступ как минимум еще 10 миллионов зараженных устройств.
Это действие демонстрирует, что объединение разведывательной информации между организациями критически важно для борьбы с угрозами, выходящими за пределы технологических и сетевых границ. Партнеры объединили различные представления о зараженных устройствах, вредоносном программном обеспечении и интернет-трафике, чтобы поддержать эту согласованную операцию по устранению, направленную на прекращение несанкционированного доступа и монетизации, а также на снижение рисков для конфиденциальности подписчиков, широкополосных ресурсов и доверия к подключенным устройствам.
Без разрешения превращать домашний широкополосный интернет в бизнес
Эта ботнет-сеть получает доход различными способами с зараженных устройств, включая перепродажу пропускной способности, передачу видео-контента, рекламное мошенничество, установку дополнительных бэкдоров, а также установку платных приложений в ранних версиях.
Для поставщиков услуг эти выводы подчеркивают риски цепочки поставок, которые могут не проявляться в повседневной работе устройства. Стриминговый бокс, работающий нормально, все равно может генерировать необъяснимый трафик и подрывать доверие к широкополосным услугам.
Взаимодополняющие профессиональные навыки, согласованные действия
Партнеры поддержали операцию по очистке, возглавляемую Google:
- TrendAI™: Роберт МакАрдл, директор по исследованиям киберпреступности TrendAI™, заявил: «Мы высоко оцениваем решительные действия Google по устранению этой угрозы. Наши исследования выявили более 1,3 миллиона устройств, затронутых этой кампанией. Это означает, что миллионы семей и предприятий совершенно не подозревают, что их устройства используются в качестве инструментов для активной преступной деятельности — будь то обман рекламодателей или использование домашних прокси-соединений для проведения других атак, что часто включает в себя имитацию личности жителей региона для кражи личных данных. Действия Google и исследовательских партнеров значительно замедлили этих злоумышленников, и если они попытаются восстановиться, наши исследования TrendAI™ будут внимательно отслеживать любые попытки».
- HUMAN: Главный информационный безопасник HUMAN Гэвин Рид заявил: «Сеть заражённых устройств может существовать только благодаря прибыли: операторы контролируют устройства и домашние подключения без согласия, а затем монетизируют этот доступ через прокси-сервисы и различные мошеннические схемы. Как показывает эта операция, совместные действия позволяют разрушить инфраструктуру, необходимую для монетизации, повысить стоимость ведения таких сетей и ослабить стимулы, на которых они основаны.»
- Synthient: Генеральный директор Synthient Бенджамин Брандаж заявил: «Незаконные сети с оплатой за установку являются важной опорой для более масштабной экосистемы мошенничества, стимулируя различные виды деятельности — от прямого рекламного мошенничества до нерегулируемых агентских сетей, которые, в свою очередь, способствуют заполнению учетных данных и созданию DDoS-ботнетов. Устранение X.CPE способствует общей защите этой сферы, а также защищает потребителей, которые невольно стали жертвами этой схемы».
Исследования и ресурсы:
- Google: https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet
- Plume: http://www.plume.com/xcpe-botnet-whitepaper-pdf
- TrendAI™: https://www.trendaisecurity.com/en-us/resources-insights/trendai-security-blog/trendaitm-research-helps-disrupt-android-tv-botnet-of-more-than-13-million-pre-infected-devices
О Plume
О TrendAI™
TrendAI™ — это глобальный лидер в области ИБ-решений на базе ИИ и подразделение Trend Micro, которое помогает организациям обеспечить полную видимость, управление и интегрированную безопасность ИИ, повышая уверенность, стимулируя инновации и устраняя риски. TrendAI™ пользуется доверием крупнейших корпораций и государственных учреждений в 185 странах, обеспечивая защиту всего предприятия — от удостоверений до инфраструктуры и данных. Компании из списка Fortune 500 полагаются на TrendAI™, используя ведущие в мире данные об угрозах и атаках для опережения угроз до 115 дней. Подробнее на trendaisecurity.com.
О Lumen
Lumen Technologies соединяет людей с данными и приложениями через свою сеть и услуги. Команда Black Lotus Labs по исследованию угроз и операциям использует глобальную видимость сети для выявления вредоносной активности, генерации информации об угрозах и помощи в защите предприятий и интернета. Подробнее на сайте Lumen Technologies.
О безопасности HUMAN
HUMAN Security помогает организациям защищать цифровой опыт за счет обнаружения и блокировки автоматизированных угроз, мошенничества и злоупотреблений. Ее технологии и данные о угрозах помогают компаниям и платформам проверять цифровые взаимодействия и создавать доверие на протяжении всего клиентского пути. Для получения дополнительной информации посетите humansecurity.com.
О Synthient
Synthient предоставляет данные для выявления жилищных прокси, VPN и инфраструктуры ботнетов, помогая организациям оценивать риски трафика и расследовать злоупотребления. Его исследователи анализируют прокси-сети, ботнеты и инфраструктуру противников, чтобы выявить новые угрозы. Подробнее на сайте Synthient.