Android-ТВ-приставка в ботнете: как понять, что она заражена

Android-приставка, скорее всего, работает на чужих людей, если она не сертифицирована Google, гонит трафик ночью при выключенном телевизоре, сама ставит приложения и возвращается к тем же симптомам после сброса до заводских настроек. Так вели себя устройства из ботнетов Vo1d, BadBox 2.0 и Kimwolf. С 2023 по 2025 год они захватили, по разным подсчётам, от нескольких миллионов до более чем 10 миллионов дешёвых ТВ-боксов. Ниже разбор: какие приставки в зоне риска, как проверить свою через меню, роутер и ADB и почему кнопка сброса почти ничего не решает.

Какие ботнеты заражают Android-приставки

Ботнет из приставок устроен скучно. Тысячи коробочек получают команды с одного сервера и тихо их выполняют, пока владелец смотрит футбол. Команды бывают разные: показывать невидимую рекламу и кликать по ней, пропускать через себя чужой трафик, участвовать в DDoS-атаках, скачивать новые модули.

За три года исследователи подробно описали четыре крупных семейства.

Ботнет	Когда описан	Масштаб	Кто описал	Чем занимается
BadBox	2023	около 74 000 устройств; в декабре 2024 года BSI отрезал от управления 30 000 устройств в Германии	HUMAN Security, BSI	бэкдор в прошивке, рекламный фрод
Vo1d	сентябрь 2024	1,3 млн приставок в 197 странах; к январю 2025 года до 1,59 млн	Doctor Web, XLab	бэкдор в системном разделе, загрузка модулей, прокси
BadBox 2.0	март 2025	более 1 млн по HUMAN, более 10 млн по иску Google	HUMAN Satori, Google, Trend Micro, Shadowserver	резидентные прокси, рекламный фрод, скрытая установка приложений
Kimwolf	конец 2025	от 1,8 до 2 млн устройств	XLab, Synthient, KrebsOnSecurity	DDoS, прокси, сканирование домашних сетей

Цифры в таблице нельзя просто сложить. Часть устройств сидела в нескольких ботнетах сразу, а компании считали разными методами: одни по уникальным IP-адресам, другие по активным устройствам за сутки. Но порядок величин ясен.

География тоже узнаваемая. В отчёте HUMAN по BadBox 2.0 на первом месте Бразилия с 37,6% заражённых устройств, дальше США с 18,2%, Мексика с 6,3% и Аргентина с 5,3%. В отчёте Doctor Web про Vo1d в верхней части списка стояли Бразилия, Марокко, Пакистан, Саудовская Аравия, Аргентина и Россия. Это рынки, где приставку покупают ради бесплатных каналов и фильмов, а цена в 25 или 40 долларов решает всё.

О Kimwolf стоит сказать отдельно. По данным XLab, за несколько дней в ноябре 2025 года ботнет разослал заражённым устройствам около 1,7 млрд команд на DDoS-атаки. Исследователи Synthient и журналист Брайан Кребс описали, как он распространялся: через сети резидентных прокси, то есть через те же заражённые приставки, добираясь до соседних устройств внутри домашних сетей.

Почему заражаются именно дешёвые приставки

Большинство безымянных приставок работает не на Android TV от Google, а на голом Android Open Source Project. Это открытый код, который любой производитель собирает сам. Лицензии Google у такой сборки нет, проверку безопасности она не проходила, обновлений не получает.

Вторая проблема: поддельная версия системы. В отчёте Doctor Web коробки, которые в настройках называли себя Android 10.1 и Android 12.1, по номеру сборки NHG47K оказались Android 7.1.2. Это система 2017 года без патчей за много лет. Надпись в меню стоит ровно столько, сколько стоит её напечатать.

Третья проблема: root и отладка из коробки. Многие прошивки поставляются с правами суперпользователя и включённым ADB по сети. Для удобства сборщика это плюс, для владельца это открытая дверь.

Четвёртая и самая неприятная: бэкдор с завода. Первая волна BadBox жила в прошивке ещё до того, как приставка попадала на склад. Покупатель ничего не скачивал и никуда не нажимал. Устройство было заражено в момент покупки.

Пятая: магазины приложений с бесплатным контентом. BadBox 2.0 заражал и через сторонние каталоги с приложениями для фильмов и IPTV. HUMAN также нашла связанные с операцией приложения в Google Play, Google их удалил.

Какие модели приставок попадали в отчёты

В отчётах фигурировали T95 и X88 Pro 10 (BadBox), R4, TV BOX и KJ-SMART4KVIP (Vo1d), а также многочисленные варианты MXQ Pro и X96Q. В BadBox 2.0, кроме приставок, попали планшеты, проекторы и автомобильные мультимедийные системы без сертификации Google.

Список моделей полезен ограниченно. Одна и та же плата продаётся под десятком названий, а одно название на маркетплейсе может скрывать три разные начинки. Надёжнее проверять не коробку, а поведение и статус сертификации.

Как проверить, сертифицирована ли приставка Google

Это самый простой тест, и ФБР в предупреждении от июня 2025 года назвало отсутствие сертификации главным фактором риска.

Порядок действий:

Открыть Google Play на приставке.
Нажать на значок профиля и зайти в «Настройки».
Открыть раздел «О программе».
Найти строку «Сертификация Play Protect».

Если там написано «Устройство не сертифицировано», приставка собрана без проверки Google. Если Google Play на устройстве вообще нет, а вместо него стоит неизвестный магазин, это почти наверняка голая AOSP-сборка. Список сертифицированных партнёров Google публикует на сайте android.com в разделе certified partners.

Сертификация не гарантирует чистоту. Но все крупные ботнеты из этой статьи жили на несертифицированных устройствах.

Какие признаки заражения видны без инструментов

Часть симптомов видна без компьютера. Ни один из них сам по себе не доказывает заражение, но два или три вместе дают уверенную картину.

Признак	Что может стоять за ним	Насколько надёжен
Нет сертификации Play Protect	AOSP-сборка без проверок	фактор риска, не доказательство
Приставка горячая в режиме ожидания	процессор занят фоновыми задачами	средний
Трафик идёт ночью при выключенном ТВ	прокси-узел или участие в DDoS	высокий
Сами появляются приложения	загрузчик модулей	высокий
Play Protect выключен и не включается	вмешательство в систему	высокий
На других устройствах дома постоянно капчи	IP домашней сети в чёрных списках	средний
Медленный интернет у всей семьи	канал занят чужим трафиком	низкий

Про капчи стоит пояснить. Когда приставка работает резидентным прокси, через домашний IP идут чужие запросы: перебор паролей, регистрация фейковых аккаунтов, накрутка рекламы. Google, Cloudflare и банки видят этот адрес как подозрительный и начинают проверять всех, кто из него выходит, включая ноутбук и телефон владельца.

Как увидеть трафик приставки через роутер

Роутер видит всё, что приставка отправляет в интернет, и обмануть его она не может. Большинство домашних моделей показывают статистику по каждому подключённому устройству в разделе «Клиенты», «Устройства» или «Мониторинг трафика».

Лучший тест простой: вечером выключить телевизор, но оставить приставку в розетке, а утром посмотреть, сколько она скачала и отдала за ночь.

Режим	Входящий трафик	Исходящий трафик	Комментарий
Ожидание, чистая приставка	до 100 МБ в сутки (оценка)	десятки МБ (оценка)	обновления, синхронизация времени
Просмотр в 4K	до 7 ГБ в час	несколько процентов от входящего (оценка)	нормальная нагрузка
Резидентный прокси	сотни МБ и гигабайты в сутки (оценка)	сопоставим с входящим	работает круглосуточно
Участие в DDoS	всплески	исходящий выше входящего	минуты или часы подряд

Главный тревожный сигнал: исходящий трафик почти равен входящему, когда никто ничего не смотрит. Обычная приставка в основном скачивает. Прокси-узел скачивает и сразу отдаёт.

Второй источник данных: DNS. Если дома стоит AdGuard Home, Pi-hole или роутер с журналом запросов, видно, к каким доменам обращается приставка. По данным XLab, Vo1d использовал алгоритм генерации доменов: в журнале это выглядит как поток запросов к бессмысленным именам вроде набора случайных букв в разных доменных зонах.

На роутерах с OpenWrt количество открытых соединений приставки можно посчитать одной командой:

# 192.168.1.50 заменить на адрес приставки из списка клиентов
grep 192.168.1.50 /proc/net/nf_conntrack | wc -l

Десятки соединений у приставки в режиме ожидания выглядят нормально. Сотни и тысячи ночью (оценка) говорят о том, что через неё кто-то работает.

Как проверить приставку через ADB

ADB (Android Debug Bridge) это инструмент отладки, который позволяет заглянуть внутрь Android с компьютера. Нужен пакет platform-tools от Google и включённая отладка в разделе «Для разработчиков» на приставке.

Сначала стоит узнать, какая система стоит на самом деле:

adb connect 192.168.1.50:5555
adb shell getprop ro.build.version.release
adb shell getprop ro.build.id
adb shell getprop ro.build.fingerprint

Если меню пишет Android 12, а ro.build.id показывает NHG47K или другую сборку эпохи Android 7, производитель соврал о версии. Это та же картина, что в отчёте про Vo1d.

Дальше список сторонних приложений и следы, которые Doctor Web описал для Vo1d:

adb shell pm list packages -3
adb shell ls -l /system/xbin/ /system/bin/ | grep -E 'vo1d|wd|debuggerd|daemonsu'
adb shell cat /system/bin/install-recovery.sh
adb shell which su

По данным Doctor Web, заражённые Vo1d приставки содержали файлы /system/xbin/vo1d и /system/xbin/wd, подменённый системный файл debuggerd с копией оригинала под именем debuggerd_real и изменённый скрипт install-recovery.sh, который запускает вредоносный код при каждой загрузке. Незнакомые пакеты с названиями вроде системных служб в списке сторонних приложений тоже повод присмотреться.

Сетевые соединения и статус отладки:

adb shell cat /proc/net/tcp
adb shell settings get global adb_enabled

Отдельный момент: если к приставке удалось подключиться по адресу и порту 5555 без запроса подтверждения на экране, это уже уязвимость. Именно открытый ADB по сети, по данным Synthient, использовал Kimwolf для распространения внутри домашних сетей.

Чистый результат проверки не доказывает отсутствие заражения. Продвинутый вредонос с root-правами умеет прятать файлы и процессы от команд, которые выполняются на той же системе. Роутер в этом смысле надёжнее: он смотрит снаружи.

Помогает ли сброс к заводским настройкам

В большинстве случаев нет. Сброс стирает пользовательский раздел: приложения, настройки, кеш. Вредоносный код Vo1d жил в системном разделе, а BadBox и вовсе в прошивке. После сброса приставка загружается с той же заражённой системой и через несколько минут снова выходит на связь с сервером управления.

Теоретически помогает перепрошивка чистой официальной сборкой. На практике у безымянных приставок официальной чистой прошивки обычно нет: производитель неизвестен, сайта поддержки нет, а сборки с форумов сами по себе лотерея. В отчётах о BadBox исследователи прямо писали, что для заражённых на заводе устройств надёжного способа очистки нет.

Чем опасна заражённая приставка для владельца

Первый риск: чужие дела под домашним IP. Резидентные прокси покупают те, кому нужно выглядеть обычным пользователем: мошенники с рекламой, взломщики аккаунтов, спамеры. В журналах атакованных сервисов остаётся адрес владельца приставки. Капчи и блокировки это мягкий вариант. Жёсткий вариант: вопросы от провайдера или полиции.

Второй риск: канал. Во время DDoS-атаки приставка отдаёт в сеть столько, сколько позволяет тариф. Интернет у всей квартиры проседает, а некоторые провайдеры отключают абонентов, с адресов которых идёт атака.

Третий риск: соседи по сети. Kimwolf, по данным исследователей, сканировал локальную сеть в поисках других уязвимых устройств. Приставка оказывается плацдармом внутри дома, рядом с камерами, NAS и ноутбуками.

Четвёртый риск: аккаунты. Если на приставке выполнен вход в Google, YouTube или стриминговые сервисы, вредонос с root-правами потенциально имеет доступ к токенам этих сессий.

Что сделали Google, ФБР и немецкий BSI

В декабре 2024 года немецкое ведомство BSI перехватило управляющие домены BadBox и отрезало от операторов не менее 30 000 устройств в Германии: медиаплееры, цифровые фоторамки, приставки.

В марте 2025 года HUMAN вместе с Google, Trend Micro и Shadowserver Foundation перехватила часть инфраструктуры BadBox 2.0. Исследователи связали операцию с несколькими группами, которые делили между собой роли: одна собирала прошивки, другая продавала трафик, третья занималась рекламным фродом.

В июне 2025 года ФБР выпустило публичное предупреждение о BadBox 2.0 и перечислило признаки: несертифицированные устройства, обещание бесплатного контента, приложения из неофициальных магазинов, выключенный Play Protect, подозрительный сетевой трафик.

В июле 2025 года Google подал иск в федеральный суд в Нью-Йорке против 25 неназванных людей в Китае, которых компания считает операторами BadBox 2.0. В иске Google оценил число заражённых устройств более чем в 10 миллионов. Иск позволяет компании законно отключать инфраструктуру ботнета, но сами приставки по-прежнему стоят в квартирах.

Проверка за десять минут: сводная таблица

Шаг	Где смотреть	Тревожный результат
Сертификация	Google Play, раздел «О программе»	«Устройство не сертифицировано» или Google Play отсутствует
Ночной трафик	статистика клиентов в роутере	сотни МБ и больше при выключенном ТВ, исходящий близок к входящему
DNS-журнал	AdGuard Home, Pi-hole, журнал роутера	запросы к случайным бессмысленным доменам
Реальная версия Android	ADB, ro.build.id	сборка старше, чем указано в меню
Системные файлы	ADB, /system/xbin и /system/bin	vo1d, wd, debuggerd_real, su
Открытый ADB	подключение по порту 5555	доступ без подтверждения на экране
Сброс	после заводского сброса	симптомы возвращаются

Дешёвая приставка экономит деньги один раз, при покупке. Дальше, если она попала в один из этих ботнетов, она годами работает на других людей, используя чужое электричество, чужой канал и чужую репутацию в интернете.