Ponad 1,3 mln urządzeń z Androidem wykorzystanych przez cyberprzestępców

Nowe urządzenie elektroniczne może trafić do domu lub firmy z niepożądanym oprogramowaniem jeszcze przed pierwszym uruchomieniem.

Google ujawnił działalność botnetu XCPE, do którego włączono ponad 1,3 mln urządzeń, przede wszystkim przystawek telewizyjnych z systemem Android. Według ustaleń Google złośliwy kod był umieszczany bezpośrednio w oprogramowaniu sprzętu produkowanego przez chińską firmę Videostrong Technology. Przejęte urządzenia mogły służyć do oszustw reklamowych, tworzenia sieci serwerów proxy, instalowania kolejnych modułów malware i wyprowadzania danych. Ich właściciele nie musieli wiedzieć, że domowe lub firmowe łącze internetowe jest wykorzystywane przez osoby trzecie.

Google Threat Intelligence Group poinformował o sprawie 2 listopada 2026 roku. W działaniach mających zakłócić funkcjonowanie botnetu uczestniczyli również partnerzy z branży cyberbezpieczeństwa oraz japońska policja. Google podał, że odciął infrastrukturę wykorzystywaną do sterowania zainfekowanymi urządzeniami, zakończył współpracę z Videostrong i wykluczył firmę z produkcji certyfikowanych urządzeń Android oraz dostarczania oprogramowania ich producentom. To jednak nie oznacza, że złośliwy kod został automatycznie usunięty z każdego urządzenia.

Urządzenie działało normalnie, ale wykonywało polecenia przestępców

Botnet XCPE wykorzystywał mechanizm, który mógł pozostać niewidoczny dla użytkownika. Przystawka multimedialna nadal odtwarzała filmy i uruchamiała aplikacje, a jednocześnie mogła wykonywać polecenia z zewnętrznego serwera. Zainfekowany sprzęt działał jako pośrednik w ruchu internetowym. W praktyce oznaczało to, że aktywność przestępców mogła wyglądać tak, jakby pochodziła z publicznego adresu IP należącego do właściciela urządzenia.

Z ustaleń Google wynika, że złośliwe oprogramowanie było osadzone w firmware, czyli oprogramowaniu układowym urządzeń. Po uruchomieniu sprzętu aktywował się mechanizm umożliwiający zdalne wykonywanie poleceń i instalowanie dodatkowych modułów. Dostęp do przejętych urządzeń miał być następnie udostępniany grupom przestępczym. Wykorzystywały one sprzęt między innymi do oszustw reklamowych, obsługi rezydenckich sieci proxy oraz instalowania kolejnego złośliwego oprogramowania.

Zakres możliwości malware był szerszy niż samo przekierowywanie ruchu internetowego. Według opisu technicznego Google operatorzy mogli wykonywać zrzuty ekranu, uruchamiać polecenia systemowe i pobierać informacje z urządzeń, w tym dane dotyczące kont, konfiguracji oraz logów systemowych. Google wskazuje, że złośliwe oprogramowanie występowało w wielu modelach i markach urządzeń przez kilka lat. Choć zdecydowaną większość zainfekowanych sprzętów stanowiły przystawki Android TV, wykryto także inne urządzenia IoT oparte na Androidzie, między innymi sprzęt telemedyczny, maszyny karaoke i wyświetlacze digital signage.

Istotną cechą XCPE była trwałość infekcji. Główny komponent złośliwego oprogramowania znajdował się w partycji systemowej firmware. Usunięcie widocznej aplikacji nie musiało więc rozwiązywać problemu. Po ponownym uruchomieniu urządzenia mechanizm mógł odtworzyć usunięty komponent. Z tego powodu zwykłe przywrócenie ustawień fabrycznych również nie daje pewności usunięcia zagrożenia.

Google zakłócił działanie botnetu, ale nie usunął infekcji z każdego sprzętu

Google i partnerzy podjęli działania przeciwko serwerom oraz domenom wykorzystywanym do zarządzania botnetem i dostarczania dodatkowych modułów malware. Według Google zakłócenie infrastruktury sterującej powiązanymi grupami przestępczymi może odciąć im dostęp do co najmniej 10 mln kolejnych zainfekowanych urządzeń. Ta liczba odnosi się do urządzeń obsługiwanych przez infrastrukturę afiliantów, a nie do potwierdzonej liczby sprzętów należących do samego botnetu XCPE.

Google poinformował również o zakończeniu współpracy z Videostrong i zakazie dalszego udziału firmy w produkcji urządzeń z preinstalowanymi aplikacjami Google oraz dostarczaniu oprogramowania certyfikowanym producentom. Firma zapowiedziała także zmiany w procedurach kontroli integralności firmware urządzeń Android TV. Jak wynika z opublikowanego opisu technicznego, Videostrong miało wykorzystywać sposób instalacji kodu, który pozwalał umieścić go w urządzeniu po jego pierwszym uruchomieniu i ominąć część kontroli bezpieczeństwa.

Działania przeciwko infrastrukturze sterującej ograniczają możliwości operatorów, ale nie są równoznaczne z oczyszczeniem wszystkich urządzeń. Właściciele sprzętu, który mógł zostać objęty infekcją, nie powinni zakładać, że samo odcięcie serwerów przez Google rozwiązuje problem po ich stronie. W przypadku potwierdzonego zakażenia może być potrzebna instalacja zaufanej, poprawionej wersji oprogramowania układowego albo wymiana urządzenia.

„Przez lata przyzwyczailiśmy się, że infekcja złośliwym oprogramowaniem jest najczęściej konsekwencją błędu użytkownika, na przykład otwarcia niebezpiecznego załącznika czy instalacji aplikacji z nieznanego źródła. Przypadek ujawniony przez Google pokazuje, że zagrożenie może pojawić się znacznie wcześniej, jeszcze na etapie produkcji urządzenia. Użytkownik nie musi niczego pobierać ani klikać w podejrzane linki. Sprzęt może działać prawidłowo, a jednocześnie wykonywać polecenia cyberprzestępców. Szczególnie niepokojąca jest możliwość wykorzystywania domowych łączy internetowych do prowadzenia nielegalnej działalności bez wiedzy ich właścicieli” - komentuje Kamil Sadkowski, analityk cyberzagrożeń ESET.

Ryzyko dotyczy również firm i urządzeń IoT

Przypadek XCPE ma znaczenie nie tylko dla osób korzystających z tanich przystawek telewizyjnych. W przedsiębiorstwach do sieci podłączane są kamery, ekrany informacyjne, urządzenia konferencyjne, telewizory, routery i inne elementy infrastruktury IoT. Część z nich pozostaje poza codzienną kontrolą działów IT, choć może komunikować się z internetem i przetwarzać dane.

Jeżeli urządzenie z niezweryfikowanym oprogramowaniem zostanie podłączone do tej samej sieci co komputery pracowników lub systemy firmowe, może zwiększyć powierzchnię ataku. Nie oznacza to, że każdy telewizor czy ekran digital signage jest zagrożeniem. Problemem jest brak kontroli nad pochodzeniem sprzętu, jego konfiguracją, aktualizacjami i połączeniami sieciowymi. Niewielkie urządzenie, które nie jest objęte firmową polityką bezpieczeństwa, może stać się dodatkowym punktem wejścia do infrastruktury.

Dla firm szczególnie istotne jest rozdzielenie sieci, w których działają urządzenia IoT, od sieci wykorzystywanych przez komputery i telefony pracowników. Segmentacja ogranicza możliwość przemieszczania się atakującego pomiędzy urządzeniami. Nie zapobiega jednak każdemu nadużyciu. Zainfekowany sprzęt nadal może wykorzystywać własne połączenie internetowe do komunikacji z zewnętrzną infrastrukturą.

Podobne pytania o kontrolę nad oprogramowaniem i danymi dotyczą także innych kategorii urządzeń. W lutym 2026 roku Sztab Generalny Wojska Polskiego poinformował o zakazie wjazdu pojazdów wyprodukowanych w Chinach na teren chronionych obiektów wojskowych. Ograniczono również możliwość podłączania telefonów służbowych do systemów multimedialnych takich samochodów. Uzasadnieniem były obawy o możliwość pozyskiwania i wykorzystywania danych rejestrowanych przez systemy pokładowe. Nie oznacza to, że w tych pojazdach wykryto malware podobne do XCPE. Są to odrębne sytuacje, które pokazują jednak wagę pytania o to, kto kontroluje oprogramowanie urządzenia i dostęp do gromadzonych przez nie informacji.

Jak ograniczyć ryzyko? Pięć zasad dla użytkowników i firm

-Pierwszym krokiem jest sprawdzanie producenta i certyfikacji urządzenia. W przypadku sprzętu Android TV warto zweryfikować, czy ma oficjalną certyfikację Google. Sama informacja, że urządzenie korzysta z systemu Android, nie oznacza, że przeszło wymagane kontrole. Certyfikacja ogranicza ryzyko, ale nie daje całkowitej gwarancji bezpieczeństwa.

-Drugim kryterium powinien być cykl aktualizacji. Przed zakupem warto sprawdzić, czy producent publikuje poprawki bezpieczeństwa i jak długo zamierza wspierać dany model. Urządzenie, które nie otrzymuje aktualizacji, może pozostawać podatne na znane luki. W firmach zasady dotyczące aktualizacji powinny obejmować również sprzęt, który nie jest komputerem ani telefonem, ale ma dostęp do sieci.

-Trzecia zasada to oddzielanie urządzeń smart od podstawowej infrastruktury. Telewizory, przystawki, kamery i inne elementy IoT warto umieszczać w wydzielonej sieci z ograniczonym dostępem do komputerów i serwerów. W środowisku firmowym powinno to wynikać z polityki zarządzania siecią, a nie zależeć od indywidualnych ustawień pracowników.

-Czwarty element to monitorowanie nietypowej aktywności. Niewyjaśniony wzrost transferu danych, spowolnienie połączenia lub komunikacja z nieznanymi serwerami mogą wskazywać na problem. Warto korzystać z funkcji monitorowania ruchu dostępnych w routerach i rozwiązaniach sieciowych. Trzeba jednak pamiętać, że brak widocznych objawów nie oznacza, że urządzenie jest wolne od infekcji.

-Piąta zasada dotyczy reagowania na podejrzenie zakażenia. Nie należy zakładać, że przywrócenie ustawień fabrycznych zawsze wystarczy. Jeżeli złośliwy kod znajduje się w firmware, może przetrwać standardowy reset. W przypadku potwierdzonej infekcji potrzebna może być instalacja zaufanego, poprawionego oprogramowania albo wymiana sprzętu. W firmie decyzję o dalszym użytkowaniu urządzenia powinien poprzedzić przegląd jego pochodzenia, konfiguracji i komunikacji sieciowej.

„Nie chodzi o to, aby automatycznie uznawać sprzęt pochodzący z określonego kraju za niebezpieczny. Kluczowe znaczenie mają przejrzystość łańcucha dostaw, możliwość weryfikacji oprogramowania i odpowiedzialność producenta za jego bezpieczeństwo. Incydent ujawniony przez Google pokazuje, jak poważne mogą być konsekwencje nadużycia zaufania użytkowników. Im więcej urządzeń podłączamy do internetu, tym ważniejsze staje się pytanie, czy rzeczywiście wiemy, kto i na jakich zasadach może uzyskać dostęp do przetwarzanych przez nie danych. Dotyczy to zarówno naszych domów, jak i przedsiębiorstw oraz infrastruktury o znaczeniu strategicznym” - dodaje Kamil Sadkowski.

Bezpieczeństwo zaczyna się przed zakupem urządzenia

Botnet XCPE pokazuje ograniczenia podejścia, w którym odpowiedzialność za cyberbezpieczeństwo sprowadza się do ostrożności użytkownika, silnego hasła i unikania podejrzanych załączników. W tym przypadku zagrożenie miało znajdować się w oprogramowaniu urządzenia jeszcze przed jego zakupem. Użytkownik mógł nie mieć żadnej możliwości rozpoznania problemu na podstawie codziennego działania sprzętu.

Dla konsumentów oznacza to, że przy wyborze urządzeń warto brać pod uwagę nie tylko cenę i funkcje, ale także producenta, certyfikację oraz politykę aktualizacji. Dla firm dochodzi do tego konieczność prowadzenia ewidencji urządzeń podłączonych do sieci, segmentacji infrastruktury i weryfikowania dostawców. Dotyczy to również sprzętu pomocniczego, który bywa kupowany poza głównymi procedurami IT.

Najważniejszy wniosek z incydentu nie dotyczy konkretnego kraju pochodzenia urządzenia, lecz odpowiedzialności za oprogramowanie i łańcuch dostaw. Sprzęt podłączony do internetu jest częścią infrastruktury cyfrowej domu lub przedsiębiorstwa. Dlatego jego bezpieczeństwo powinno być sprawdzane przed wdrożeniem, a nie dopiero wtedy, gdy pojawią się oznaki problemu.

Źródła:
- DAGMA, informacja prasowa „Kupujesz nowy sprzęt, a on już pracuje dla cyberprzestępców. Google ujawnia botnet 1,3 mln urządzeń”.
- Google Threat Intelligence Group, „Shutting the Door on the XCPE Botnet”, 2 listopada 2026 r.

Pobierz ebook "Książka "Obłęd w Breslau. Zbrodnia w imię czystości rasy" Tomasza Bonka już w księgarniach"