Не менее 1,3 млн телевизионных приставок и ТВ-боксов под маркой MECOOL продавались с предустановленным бэкдором. Около половины этих устройств каждый день выходят на связь с серверами операторов. Владельцу ничего делать не нужно: чужой код работает с первого включения. Канал доставки сторонних программ открыт по умолчанию — техника шла как обычная потребительская электроника для домашнего кино.
Описание
Заражённые приставки нашли случайно. В январе они попали в данные кампании Kimwolf: устройства заражали наравне с другими представителями семейства BadBox. Совместно с Motion Picture Association исследователи закупили несколько таких приставок и разобрали их. В конце 2025 года к ним попала модель KM9PRO Max. Доступ к системе открыл режим разработчика вместе с отладочным интерфейсом ADB — после этого аналитики выгрузили содержимое памяти. В прошивке обнаружился бэкдор x.cpe с правами системного уровня. Этого хватает и для удалённого выполнения кода, и для управления файлами.
По данным Synthient, цепочка ведёт к Videostrong Technology — производителю устройств из Китая. Компания продвигает себя как поставщика ИИ-роботов, ТВ-приставок и умных колонок. Уверенность в атрибуции исследователи называют высокой. За Videostrong числятся и другие магазины, включая yokatv, и вся их техника упакована с тем же бэкдором. Google после публикации разорвал отношения с компанией и запретил ей собирать сертифицированные Android-устройства. Запрет распространяется и на будущие подразделения.
Управление идёт через брокер сообщений MQTT. Так называют протокол, по которому устройство обменивается короткими сообщениями с сервером и получает задания. При включении приставка отправляет сведения о себе, а в ответ получает учётные данные для подключения. Дальше она слушает команды: что установить, что удалить. В служебном сообщении уходит и адрес электронной почты владельца, если тот вошёл в аккаунт.
Основную нагрузку собирает Nexus — упаковщик, который объединяет несколько вредоносных модулей в одно приложение. Набор прокси-компонентов внутри него за время разработки менялся: одни добавлялись, другие исчезали. Полезные нагрузки рассылают с привязкой к региону, чтобы установки не выглядели аномалией для локального рынка. Модель оплаты — pay-per-install: деньги приходят за каждую установку на чужом устройстве. Тот же поток питает рекламное мошенничество и сети жилых прокси, через которые потом идут подбор учётных данных и атаки на отказ в обслуживании.
Магазин MECOOL работал с начала 2022 года и продавал приставки, телевизоры и проекторы. Бренд рекламировали крупные YouTube-каналы, включая Linus Tech Tips с аудиторией больше 16,8 млн подписчиков. После публикации канал заявил, что обновил видео, прямо назвал продукт мошеннической схемой и удалил партнёрские ссылки. По версии исследователей, производитель намеренно маскировал код, чтобы код прошёл проверки перед выпуском устройств.
География шире рынка сбыта. Заметнее всего приставки представлены в Малайзии, Мексике и Бразилии, есть пострадавшие в США, Китае и Германии. Оценку в 1,3 млн устройств исследователи называют консервативной: точного учёта нет. Google уже изменил процедуру проверки, чтобы подобные случаи не повторялись, но что именно поменялось, не раскрывается. Сколько заражённых приставок остаётся в продаже, тоже не установлено. Исследователи настаивают на снятии таких устройств с онлайн-полок: по их мнению, вместе с бэкдором на приставке может лежать и другое вредоносное ПО.
Индикаторы компрометации
