⚙️Технические детали:
⚙️Технические детали: Связь вендора с кампанией подтвердили открытый каталог на сервере file[.]anyevonline[.]com:8000 с подписанной директором по исследованиям и разработкам Videostrong Оуэном Цао декларацией и совпадение IP-адреса домена videostrong[.]cn с главной админ-панелью mqtt[.]anyevonline[.]com. С конца 2024 года злоумышленники использовали трёхступенчатую архитектуру, где первичный системный бэкдор x.cpe (или com.oemservice, который в исследованном образце MECOOL KM9PRO Max имел цифровую подпись Skyworth Digital Technology) автоматически переустанавливался из раздела /oem/ при перезагрузке после удаления, обращался к серверам *.anyevonline[.]com и подключался к MQTT-брокеру mqtt[.]szbboys[.]com (219[.]134[.]163[.]210 и 219[.]134[.]163[.]211, порты с 3885 по 3887). Имплант отключал защиту Google Play Protect, запускал обратные командные оболочки (reverse shell), делал скриншоты экрана в реальном времени, имитировал нажатия клавиш и выгружал системные логи вместе со сведениями об учётных записях и адресом электронной почты авторизованного владельца. Для обхода песочниц x.cpe передавал команды внешнему загрузчику com.abc.nexus с защитной библиотекой libseccomp_guard.so, а с августа 2026 года операторы начали массово заменять его одиночными дропперами под видом системных пакетов com.android.system.ntp и com.android.sso.auth.handler. В нескольких модификациях такие пакеты через модуль libexploit.so получали root-доступ по локальному ADB, монтировали системный раздел на запись, копировали себя в /system/priv-app/ и подделывали метки времени установки. Примерно на 1,33 млн устройств Videostrong назначала к развёртыванию партнёрские модули монетизации (до трёх прокси-SDK одновременно на одну приставку), превращая гаджеты в выходные узлы резидентных прокси и PCDN-сетей с охватом 3 849 226 домашних и мобильных IP-адресов за четыре месяца (ADMOYU, PPService, Linkfog от Beijing Linkfog Technology из экосистемы Dianxinyun, PCDN-сервис DianxinCloud со шлюзом DianxinAI, Jaguar, принадлежащий компании Oxylabs пакет AppSalt / Honeygain, BWM / IPWeb, GaGaNode от IPCola со связками NetNut / Popanet и EarnFM, TraffMonetizer, titannet[.]io и grass[.]io). Кроме того, на приставки доставлялись модули скрытого скликивания рекламы (DevourService, встроенный в видеоплееры плагин Fission, а также накладывающий прозрачные окна и записывающий экран троянец-кликер HiddenView) и многоступенчатые бэкдоры Spirit, Bird и Moyu, последний из которых также поддерживал перехват буфера обмена. 📖 В отчёте Google Threat Intelligence Group говорится, что без ведома или согласия пользователей заражённые устройства предлагались в качестве механизма распространения для широкого круга злоумышленников. Это привело к выполнению различных вредоносных действий на самих устройствах и через них, включая рекламный фрод, эксфильтрацию данных и маршрутизацию вредоносного сетевого трафика. ✋ @Russian_OSINT