Użytkownik kupujący nowe urządzenie elektroniczne zwykle zakłada, że największe zagrożenia pojawią się dopiero podczas jego użytkowania: po instalacji niebezpiecznej aplikacji, otwarciu podejrzanego załącznika lub wykorzystaniu niezałatanej luki bezpieczeństwa.
Dochodzenie opublikowane 2 listopada 2026 roku przez Google Threat Intelligence Group (GTIG) pokazuje, że ten scenariusz nie wyczerpuje wszystkich możliwości. Urządzenie może trafić do klienta z ukrytym mechanizmem umożliwiającym zdalne wykonywanie poleceń.
Botnet XCPE. Ponad 1,3 mln urządzeń pod kontrolą przestępczej infrastruktury
Google wraz z partnerami podjął działania prowadzące do rozbicia infrastruktury botnetu XCPE, obejmującego ponad 1,3 mln przystawek telewizyjnych działających pod kontrolą systemu Android.
Według zespołu GTIG z wysokim stopniem pewności można przypisać opracowanie, instalowanie i wykorzystywanie ukrytego mechanizmu firmie Videostrong Technology Co., producentowi elektroniki i dostawcy rozwiązań sprzętowo-programowych dla innych marek.
Urządzenia mogły działać zgodnie ze swoim podstawowym przeznaczeniem, na przykład odtwarzać filmy i uruchamiać aplikacje, a jednocześnie pozostawać częścią infrastruktury wykorzystywanej przez inne podmioty do nielegalnych działań.
Co istotne, zagrożenie nie dotyczyło wyłącznie sprzętu oferowanego bez certyfikacji. Google przyznał, że zastosowane przez producenta techniki ukrywania kodu pozwoliły ominąć część zabezpieczeń procesu weryfikacji urządzeń.
Jak działało złośliwe oprogramowanie XCPE?
Mechanizm XCPE różnił się od typowych infekcji, w których użytkownik sam instaluje złośliwą aplikację.
Podstawowy komponent, występujący m.in. pod nazwami x.cpe i com.oemservice, był umieszczany w oprogramowaniu urządzenia. Po uruchomieniu sprzętu umożliwiał nawiązanie kontaktu z infrastrukturą sterującą oraz instalowanie kolejnych modułów.
Google opisał rozbudowaną architekturę pozwalającą operatorom botnetu wykonywać różne działania bez wiedzy właściciela urządzenia, w tym:
- instalowanie dodatkowego oprogramowania,
- wykonywanie zdalnych poleceń systemowych,
- przechwytywanie zrzutów ekranu i wybranych informacji,
- rozpoznawanie sieci, do której podłączono urządzenie,
- wykorzystywanie połączenia internetowego jako serwera pośredniczącego.
Mechanizm został zaprojektowany w sposób utrudniający jego usunięcie. W określonych konfiguracjach usunięty komponent mógł zostać ponownie zainstalowany z partycji systemowej po restarcie urządzenia.
Dlatego zwykłe usunięcie podejrzanej aplikacji, a nawet przywrócenie ustawień fabrycznych, nie zawsze rozwiązuje problem infekcji zapisanej w oprogramowaniu urządzenia.
Domowy internet jako narzędzie cyberprzestępców
Jednym z najważniejszych zastosowań XCPE było przekształcanie zainfekowanych urządzeń w elementy sieci tzw. residential proxy, czyli serwerów pośredniczących wykorzystujących zwykłe, domowe połączenia internetowe.
W takiej konfiguracji ruch generowany przez inny podmiot może być przekazywany przez urządzenie należące do nieświadomego użytkownika.
Dla zewnętrznego serwisu część połączeń może wyglądać tak, jakby pochodziła z adresu IP gospodarstwa domowego, w którym znajduje się zainfekowana przystawka.
Przestępcy mogą wykorzystywać takie rozwiązania do ukrywania rzeczywistego źródła aktywności, obchodzenia ograniczeń dostępu czy prowadzenia oszustw reklamowych.
Google wskazał również, że zainfekowane urządzenia służyły do instalowania kolejnych modułów malware. Dostęp do przejętej infrastruktury miał być udostępniany innym grupom przestępczym w modelu nastawionym na generowanie przychodów.
W praktyce oznacza to, że właściciel sprzętu mógł nie ponosić żadnej aktywnej odpowiedzialności za infekcję, a mimo to jego łącze internetowe i urządzenie były wykorzystywane przez osoby trzecie.
Certyfikacja Google nie zapobiegła infekcji
Jednym z najbardziej istotnych elementów sprawy jest fakt, że złośliwe oprogramowanie pojawiło się także w urządzeniach objętych procesem certyfikacji Google.
Producent wykorzystał techniki ukrywania kodu i mechanizm instalowania dodatkowych komponentów po pierwszym uruchomieniu sprzętu. Pozwoliło to ominąć część kontroli bezpieczeństwa prowadzonych przed dopuszczeniem urządzeń do ekosystemu certyfikowanego Android TV.
Google poinformował o zakończeniu współpracy z Videostrong oraz wykluczeniu firmy i jej przyszłych podmiotów powiązanych z produkcji certyfikowanych urządzeń i dostarczania oprogramowania dla innych certyfikowanych producentów.
Zapowiedział również zmiany w procedurach weryfikacji integralności oprogramowania.
Sprawa pokazuje ograniczenia certyfikacji jako mechanizmu ochronnego. Jest ona ważnym elementem oceny produktu, ale nie oznacza całkowitej odporności na działania nieuczciwego dostawcy.
Google mówi także o 10 mln innych zainfekowanych urządzeń
Działania przeciwko XCPE nie ograniczyły się do infrastruktury kontrolującej ponad 1,3 mln przystawek telewizyjnych.
Google podjął również działania wymierzone w serwery sterujące wykorzystywane przez powiązane rodziny złośliwego oprogramowania.
Według szacunków firmy mogło to odciąć przestępcom dostęp do co najmniej 10 mln dodatkowych zainfekowanych urządzeń.
Nie należy jednak utożsamiać tej liczby z rozmiarem samego botnetu XCPE. Chodzi o inne urządzenia objęte działalnością powiązanych grup wykorzystujących również alternatywne kanały dystrybucji malware.
Zakłócenie infrastruktury sterującej nie oznacza też automatycznego usunięcia złośliwego oprogramowania ze wszystkich zainfekowanych urządzeń.
Co botnet XCPE oznacza dla bezpieczeństwa firm?
Chociaż większość zidentyfikowanych urządzeń stanowiły przystawki telewizyjne, konsekwencje sprawy są istotne również dla przedsiębiorstw.
W firmowych sieciach coraz częściej działają urządzenia, które nie są tradycyjnymi komputerami: inteligentne wyświetlacze, systemy wideokonferencyjne, kamery, sprzęt multimedialny czy inne urządzenia Internetu rzeczy (IoT).
Część z nich może być instalowana bez udziału administratorów IT lub znajdować się poza standardowym systemem zarządzania bezpieczeństwem.
Problem pojawia się wtedy, gdy takie urządzenia uzyskują dostęp do tej samej sieci, w której funkcjonują komputery pracowników i systemy przetwarzające poufne informacje.
Zainfekowany sprzęt może wówczas stanowić dodatkowy punkt ryzyka, zwłaszcza jeżeli umożliwia rozpoznawanie innych urządzeń w sieci lub wykonywanie zdalnych poleceń.
Nie oznacza to, że każdy element botnetu XCPE automatycznie umożliwiał przejęcie całej infrastruktury przedsiębiorstwa. Potencjalne skutki zależą m.in. od konfiguracji sieci, uprawnień urządzenia i zastosowanych zabezpieczeń.
Incydent pokazuje jednak, jak ważne jest uwzględnianie urządzeń IoT w polityce cyberbezpieczeństwa firmy.
Ekspert ESET: urządzenie może być zainfekowane jeszcze przed zakupem
Na zmianę charakteru zagrożeń zwraca uwagę Kamil Sadkowski, analityk cyberzagrożeń ESET.
„Przypadek ujawniony przez Google pokazuje, że zagrożenie może pojawić się znacznie wcześniej, jeszcze na etapie produkcji urządzenia. Użytkownik nie musi niczego pobierać ani klikać w podejrzane linki. Sprzęt może działać prawidłowo, a jednocześnie wykonywać polecenia cyberprzestępców” – komentuje Kamil Sadkowski.
To ważne uzupełnienie tradycyjnego podejścia do cyberhigieny. Ostrożność podczas instalowania aplikacji czy otwierania załączników pozostaje niezbędna, ale nie chroni przed każdym zagrożeniem związanym z kompromitacją łańcucha dostaw.
Wcześniej na Marketing i Biznes opisywaliśmy przypadek fałszywych aplikacji w Google Play, ujawniony przez analityków ESET. Obie sprawy pokazują odmienne mechanizmy zagrożeń: od oszukańczych aplikacji po złośliwe oprogramowanie obecne w urządzeniu jeszcze przed rozpoczęciem jego użytkowania.
Jak firmy mogą ograniczać ryzyko związane z urządzeniami IoT?
Przypadek XCPE powinien skłonić przedsiębiorstwa do zweryfikowania zasad zakupu i podłączania urządzeń elektronicznych do firmowej infrastruktury.
Najważniejsze działania obejmują:
- Inwentaryzację sprzętu. Firma powinna wiedzieć, jakie urządzenia są podłączone do jej sieci, kto nimi zarządza i czy nadal otrzymują aktualizacje bezpieczeństwa.
- Weryfikację dostawców. Przy zakupie warto sprawdzać producenta, certyfikację, okres wsparcia technicznego oraz dostępność poprawek bezpieczeństwa.
- Segmentację sieci. Urządzenia IoT powinny funkcjonować w wydzielonej sieci z odpowiednimi ograniczeniami komunikacji z zasobami firmowymi.
- Monitorowanie aktywności. Nietypowe połączenia zewnętrzne, transfery danych i komunikacja z nieznanymi serwerami mogą wymagać analizy przez administratorów.
- Procedurę reagowania na incydenty. W przypadku podejrzenia infekcji należy odizolować urządzenie, sprawdzić dostępność zaufanego oprogramowania naprawczego i ocenić, czy konieczna jest jego wymiana.
Segmentacja sieci może ograniczać możliwość dostępu zainfekowanego urządzenia do innych firmowych systemów. Nie zapobiega jednak każdemu nadużyciu, np. wykorzystaniu samego łącza internetowego jako serwera proxy.
Jak wskazywaliśmy również w artykule o znaczeniu kompetencji i organizacji cyberbezpieczeństwa w firmach, bezpieczeństwo zależy nie tylko od technologii, ale także od skutecznych procedur i przypisanej odpowiedzialności.
Jak sprawdzić, czy urządzenie mogło zostać zainfekowane?
Badacze bezpieczeństwa z Synthient udostępnili publiczne zestawienie identyfikatorów modeli urządzeń zaobserwowanych w analizowanej kampanii.
Zestawienie jest dostępne w repozytorium badawczym Synthient na GitHubie.
Należy jednak pamiętać, że samo występowanie nazwy modelu na liście nie stanowi wystarczającego dowodu infekcji konkretnego egzemplarza.
Użytkownicy urządzeń, które mogą być objęte problemem, powinni sprawdzić komunikaty producenta dotyczące aktualizacji i ewentualnych działań naprawczych. W przypadku potwierdzonego zagrożenia i braku zaufanej poprawki bezpieczniejszym rozwiązaniem może okazać się wycofanie sprzętu z użytkowania.
Bezpieczeństwo urządzeń zaczyna się w łańcuchu dostaw
Sprawa XCPE pokazuje, że bezpieczeństwo cyfrowe nie rozpoczyna się dopiero w chwili podłączenia urządzenia do internetu.
Ogromne znaczenie ma to, kto projektuje sprzęt, przygotowuje oprogramowanie, odpowiada za jego aktualizacje oraz w jakim stopniu użytkownik może zweryfikować integralność systemu.
Jak podkreśla Kamil Sadkowski z ESET:
„Nie chodzi o to, aby automatycznie uznawać sprzęt pochodzący z określonego kraju za niebezpieczny. Kluczowe znaczenie mają przejrzystość łańcucha dostaw, możliwość weryfikacji oprogramowania i odpowiedzialność producenta za jego bezpieczeństwo”.
Dla przedsiębiorstw oznacza to konieczność rozszerzenia oceny ryzyka poza standardową ochronę komputerów i telefonów pracowników. Każde urządzenie posiadające dostęp do sieci może stanowić element infrastruktury wymagający nadzoru.
Najważniejsza lekcja z incydentu XCPE dotyczy zaufania do dostawców. Nawet sprzęt kupiony jako nowy i objęty procesem certyfikacji może zawierać zagrożenie, którego użytkownik nie jest w stanie rozpoznać podczas codziennego korzystania.
FAQ – najczęstsze pytania o botnet XCPE
Czym jest botnet XCPE?
XCPE to botnet wykorzystujący złośliwe oprogramowanie umieszczane w urządzeniach z Androidem, przede wszystkim przystawkach telewizyjnych. Pozwalał operatorom zdalnie instalować dodatkowe moduły i wykorzystywać przejęty sprzęt m.in. jako serwery proxy oraz narzędzia oszustw reklamowych. Google poinformował o działaniach przeciwko tej infrastrukturze 2 listopada 2026 roku.
Czy botnet XCPE zagraża wszystkim telefonom z Androidem?
Nie. Opisany przez Google przypadek dotyczy przede wszystkim określonych urządzeń multimedialnych oraz części innych urządzeń IoT opartych na Androidzie. Raport nie oznacza, że wszystkie smartfony z Androidem są zainfekowane XCPE.
Czy certyfikowane urządzenie Android TV może zawierać malware?
Tak. Certyfikacja ogranicza ryzyko, ale nie zapewnia absolutnej gwarancji bezpieczeństwa. W przypadku XCPE producent wykorzystał techniki pozwalające ominąć część procedur kontrolnych Google. Firma zapowiedziała wzmocnienie mechanizmów weryfikacji oprogramowania certyfikowanych urządzeń.
Czy przywrócenie ustawień fabrycznych usuwa XCPE?
Niekoniecznie. Jeżeli komponent złośliwego oprogramowania znajduje się w partycji systemowej, reset urządzenia może nie usunąć zagrożenia. W takim przypadku potrzebne może być zainstalowanie zaufanej, poprawionej wersji oprogramowania lub wymiana sprzętu.
Jak zabezpieczyć firmę przed zainfekowanymi urządzeniami IoT?
Podstawą jest inwentaryzacja sprzętu, weryfikowanie dostawców, aktualizowanie oprogramowania, wydzielanie sieci dla urządzeń IoT oraz monitorowanie nietypowego ruchu. W przedsiębiorstwach szczególnie ważne jest ograniczanie dostępu takich urządzeń do systemów przetwarzających poufne dane.
Źródła: Google Threat Intelligence Group, „Shutting the Door on the XCPE Botnet”, 2 listopada 2026 r.; materiał prasowy ESET przekazany przez Linkleaders; Synthient – dokumentacja badawcza XCPE.
Zostaw komentarz