Google, Plume, TrendAI™, Lumen, HUMAN Security, Synthient та Національна поліція Японії утворили координаційну дію, об’єднавши дослідження безпеки, інформацію про загрози та кіберпрофесійні здібності для виявлення та припинення ботнету X.CPE.
Міст Стівенс-Крік, Каліфорнія, США, 2 листопада 2026 року /PRNewswire/ — Сьогодні група партнерів з приватного та державного секторів оголосила про спільне видалення X.CPE. Це глобальна бот-сіть, яка приховувалася в понад 1,3 мільйонах телевізійних приставках у понад 200 країнах. Цей шкідливий код був вбудований до пристроїв ще до їх продажу і використовував пристрої та домашні інтернет-з’єднання підписників без їхньої згоди або навіть відомості. Цю операцію з видаленням очолили Google, Plume, TrendAI™, Lumen, HUMAN Security та Synthient, а також з участь Національної поліції Японії.
Чарлі Снайдер, керівник операцій з боротьби з інформаційними загрозами від Google, сказав: «Ці операції підвищують витрати злочинців і демонструють, що інфраструктура, на яку вони покладаються, не є недоступною. Видалення X.CPE вимагає спільних зусиль від партнерів індустрії. Це підтверджує, що співпраця — один із найпотужніших інструментів у боротьбі з загрозами, що перетинають кордони та галузі».
Знайомий пристрій, що приховує невідому загрозу
X.CPE вбудований у прошивку — програмне забезпечення, що керує базовою роботою пристрою, — і був встановлений ще до того, як пристрої досягли абонентів. X.CPE був розроблений для обходу безпекових перевірок перед виведенням на ринок; після цього Google оновив свої процеси перевірки та заборонив відповідним виробникам початкового обладнання (OEM) та їхнім будь-яким майбутнім дочірнім або пов’язаним компаніям виробляти пристрої з передвстановленими додатками Google. У відмінність від інфекцій, що залежать від того, що користувачі відкривають підозрілі вкладення або встановлюють додатки, ця загроза приходить як частина самого пристрою. Абоненти не отримували жодних запитів на згоду, сповіщення чи можливості відмовитися.
Google, Plume, TrendAI™, Lumen, HUMAN Security та Synthient у співпраці з Національною поліцією Японії провели координовану операцію проти X.CPE. Кожна з організацій використала свої експертні знання в галузях безпеки підключених пристроїв, аналізу шкідливого програмного забезпечення, мережевої видимості та цифрового шахрайства для аналізу та зруйнування роботи цього ботнету.
Ці організації спільно ліквідували загрозу, приховану за звичайними пристроями: програмне забезпечення, вбудоване у цифрові приставки для телебачення, надавало контролерам ботнетів віддалений доступ і дозволяло використовувати домашні широкосмугові з’єднання без згоди користувачів. Ця операція також зруйнувала домени командування та контролю, які використовувалися для роботи зловмисних модулів, пов’язаних із злочинними групами. Оскільки ці групи також розповсюджували свої модулі через канали, відмінні від X.CPE, Google вважає, що вимкнення цих доменів перетне доступ щонайменше до 10 мільйонів додатково заражених пристроїв.
Ця дія підкреслює важливість зв’язування розведувальної інформації між організаціями для ефективного вирішення загроз, що перетинають технологічні та мережеві кордони. Партнери об’єднали різні перспективи щодо заражених пристроїв, шкідливого програмного забезпечення та інтернет-трафіку, щоб підтримати цю координовану операцію з метою зруйнувати несанкціонований доступ та монетизацію, а також зменшити ризики для конфіденційності підписників, широкосмугових ресурсів та довіри до підключених пристроїв.
Без дозволу перетворити домашній широкосмуговий інтернет на бізнес
Ця ботнета отримує прибуток з інфікованих пристроїв різними способами, включаючи перепродаж пропускної здатності, передачу відеоконтенту, рекламне мошенництво, завантаження додаткових бекдорів та встановлення платних додатків у ранніх версіях.
Для постачальників послуг ці вияви підкреслюють ризики ланцюга поставок, які можуть не проявлятися через звичайну роботу пристрою. Стрімінговий пристрій, який працює нормально, все ще може генерувати незрозумілий трафік і підривати довіру до широкосмугового сервісу.
Доповнюючі професійні здібності, координовані дії
Партнери підтримали операцію з очищення X.CPE, яку очолює Google:
- TrendAI™: Роберт МакАрдл, директор з досліджень кіберзлочинності TrendAI™, сказав: «Ми високо цінуємо швидку реакцію Google щодо усунення цієї загрози. Наши дослідження виявили, що понад 1,3 мільйона пристроїв були вплинуті цією кампанією. Це означає, що мільйони домашніх господарств і підприємств повністю не усвідомлюють, що їхні пристрої використовуються як інструменти для активних злочинних дій — будь то обман рекламодавців чи використання їхніх домашніх проксі для проведення інших атак, що часто також включає в себе підробку особистості як мешканця регіону. Ця дія Google та його дослідницьких партнерів значно сповільнила цих зловмисників, і якщо вони спробують відновитися, наші дослідження TrendAI™ продовжуватимуть уважно стежити за ними».
- HUMAN: Гевін Рід, головний інформаційний офіцер безпеки HUMAN, сказав: «Підтримка мережі заражених пристроїв ґрунтується на прибутку: оператори керують пристроями та домашніми підключеннями без згоди, а потім монетизують цей доступ через проксі-сервіси та різноманітні шахрайські дії. Як показує ця операція, спільна діяльність перериває інфраструктуру, необхідну для монетизації, підвищує витрати на функціонування цих мереж і погіршує мотивацію, що їх підтримує.»
- Synthient: Генеральний директор Synthient Бенджамін Брандідж заявив: «Незаконні мережі з оплатою за встановлення є важливою опорою для більшої екосистеми шахрайства, сприяючи різноманітним діяльностям — від безпосереднього шахрайства з рекламою до нерегульованих агентських мереж, які, у свою чергу, підтримують заповнення облікових даних та DDoS-ботнети. Видалення X.CPE сприяє загальній захисту цієї сфери, а також захисту споживачів, які невинно постраждали від цієї програми».
Дослідження та ресурси:
- Google: https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet
- Plume: http://www.plume.com/xcpe-botnet-whitepaper-pdf
- TrendAI™: https://www.trendaisecurity.com/en-us/resources-insights/trendai-security-blog/trendaitm-research-helps-disrupt-android-tv-botnet-of-more-than-13-million-pre-infected-devices
Про Plume
Про TrendAI™
TrendAI™ — це глобальний лідер у сфері AI-безпеки та підрозділ підприємств від Trend Micro, який допомагає організаціям забезпечити повну видимість, управління та інтегровану безпеку AI, щоб підвищити впевненість, сприяти інноваціям та усунути ризики. TrendAI™ користується довірою 185 країн великих підприємств та урядових установ, забезпечуючи захист усього організаційного середовища — від ідентичності до інфраструктури та даних. Компанії зі списку Fortune 500 покладаються на TrendAI™, щоб за допомогою лідируючих у світі даних про загрози та атаки зменшити час виявлення загроз на 115 днів. Додаткову інформацію доступно на trendaisecurity.com.
Про Lumen
Lumen Technologies з’єднує людей із даними та додатками завдяки своїм мережам та технологічним сервісам. Її команда Black Lotus Labs з дослідження та операцій з загроз використовує глобальну видимість мережі для виявлення шкідливої діяльності, генерації інформації про загрози та допомоги у захисті підприємств та інтернету. Докладніше на сайті Lumen Technologies.
Щодо HUMAN Security
HUMAN Security допомагає організаціям захищати цифровий досвід шляхом виявлення та блокування автоматизованих загроз, шахрайства та зловживань. Його технології та інтелект про загрози допомагають бізнесам і платформам перевіряти цифрові взаємодії та будувати довіру на кожному етапі користувацького шляху. Докладніше на humansecurity.com.
Про Synthient
Synthient надає інформацію для виявлення житлових проксі, VPN та інфраструктури ботнетів, що допомагає організаціям оцінювати ризики трафіку та розслідувати зловживання. Його дослідники аналізують мережі проксі, ботнети та інфраструктуру противника, щоб виявити нові загрози. Докладніше на сайті Synthient.