Čínský malware je předinstalovaný v mnoha Android tabletech už z výroby. Hackeři mají plný přístup k celému zařízení

Bezpečnostní firma Kaspersky odhalila backdoor jménem Keenadu, zabudovaný přímo ve firmwaru levnějších Android tabletů přímo z výroby.

Zdroj fotografie: Pexels

Nejde o škodlivou aplikaci, kterou si uživatel stáhne omylem. Keenadu je kód vpletený do samotného systému zařízení, do knihovny libandroid_runtime.so, která se spouští při každém startu Androidu. Útočníci díky tomu získávají velmi rozsáhlý vzdálený přístup: mohou ovlivňovat spuštěné aplikace, instalovat další programy bez vědomí majitele, udělovat si různá oprávnění, číst zprávy, sledovat polohu, sbírat bankovní přihlašovací údaje i vyhledávací dotazy v Chrome včetně anonymního režimu. V jedné variantě se malware schoval dokonce do systémové aplikace pro odemykání obličejem, čímž potenciálně získává přístup i k funkcím souvisejícím s biometrickými údaji. Kaspersky zveřejnil zjištění 17. února 2026 a k tomuto datu evidoval ve své telemetrii 13 715 zasažených zařízení. Nejvíc detekcí zaznamenal v Rusku, Japonsku, Německu, Brazílii a Nizozemsku, problém tedy zdaleka není omezený na jednu zemi.

Které tablety jsou nakažené a jak se malware dostal do firmwaru

Veřejně a technicky potvrzeným modelem je Alldocube iPlay 50 mini Pro (T811M), jehož analyzované verze firmwaru obsahovaly Keenadu. U příbuzného modelu iPlay 50 mini Pro NFE byla čistá pouze úplně první verze z listopadu 2023; další aktualizace včetně té z května 2024 už obsahovaly škodlivý kód. Kaspersky zmiňuje i další výrobce, ty ale veřejně nejmenuje.

Klíčové je, jak se malware do zařízení dostal. Škodlivá statická knihovna byla přilinkovaná přímo do zdrojového kódu firmwaru během fáze sestavení a firmware nesl platné digitální podpisy. To znamená, že nešlo o jednoduchý útok na aktualizační server. Technická analýza na Securelist naznačuje kompromitaci některé etapy vývoje nebo sestavení firmwaru, přičemž samotný výrobce mohl být nakažením překvapen. V několika případech se infikovaný firmware rozšířil i prostřednictvím běžné OTA aktualizace, tedy přesně tím kanálem, kterým uživatel očekává opravu, nikoli novou hrozbu.

Proč se mluví o čínské stopě

Kaspersky v reportu neuvádí přesnou atribuci konkrétní skupině, ale některé indicie směřují do Číny. Malware se nevypíná pouze tehdy, když zařízení není nastavené na čínský jazyk a čínské časové pásmo. V artefaktech sestavení zůstaly cesty obsahující segment zh. A širší příbuzný ekosystém je ještě výmluvnější: bezpečnostní firma HUMAN označuje kampaň BADBOX 2.0 jako čínskou, FBI ve svém varování píše, že většina nakažených zařízení byla vyrobena v Číně, a Google u BADBOX 2.0 hovoří o více než deseti milionech zasažených necertifikovaných AOSP zařízení.

Důležité rozlišení: milionová čísla se vztahují k příbuzným kampaním BADBOX a Vo1d, nikoli přímo ke Keenadu na tabletech. Vo1d je botnetová rodina cílící hlavně na Android TV boxy, zatímco Keenadu je specificky backdoor, který byl popsán u tabletů. Spojuje je ale širší ekosystém a techniky kompromitace dodavatelského řetězce.

Co to znamená pro českého uživatele

Přímý důkaz o masovém prodeji dotčených tabletů přes velké české e-shopy se nám nepodařilo dohledat. Česká recenze z ledna 2024 ale u modelu Alldocube iPlay 50 Mini Pro výslovně uváděla, že „není dostupný na našem trhu“ a pořizuje se ze zahraničního e-shopu nebo z EU skladu. Do Česka se tedy tyto tablety mohly dostat hlavně dovozem a přes marketplace kanály.

Rizikovější profil zařízení podle dostupných zdrojů vypadá takto:

• Levnější méně známá značka
• Android bez certifikace Play Protect
• Nákup přes neoficiální distribuční kanály nebo zahraniční marketplace
• Absence pravidelných bezpečnostních aktualizací od výrobce

Alldocube reagoval 4. března 2026, tedy zhruba dva týdny po zveřejnění zjištění Kaspersky, a oznámil OTA opravy pro čtyři modely: iPlay 60 mini Pro, iPlay 60 Pro, iPlay 50 mini Pro včetně NFE a iPlay 70 Pro.

Tovární reset nepomůže, co dělat

Právě tady je zásadní rozdíl oproti běžnému malwaru. Tovární reset infekci na úrovni firmwaru neodstraní. Kaspersky výslovně uvádí, že infekci v libandroid_runtime.so nelze odstranit standardními nástroji Androidu. Jediné řešení je čistá OTA aktualizace od výrobce, nebo ruční přehrání čistého firmwaru, s rizikem „bricknutí“ zařízení.

Další záludnost: řídicí server Keenadu po prvním kontaktu často neposílal škodlivé moduly hned, ale až po zhruba dvou a půl měsících od aktivace zařízení. Uživatel tak mohl týdny používat tablet bez jakýchkoli příznaků a nabýt dojmu, že je vše v pořádku.

Praktický checklist pro každého majitele levnějšího Android tabletu:

• Ověřit certifikaci – v Google Play Store zkontrolovat stav Play Protect certification
• Aktualizovat firmware – pokud výrobce vydal čistou OTA aktualizaci, nainstalovat ji okamžitě
• Provést plný scan – mobilním bezpečnostním nástrojem (Kaspersky, Dr.Web)
• Sledovat podivné chování – nevysvětlitelné reklamy, zvuky nebo neobvyklý síťový provoz
• Zvážit vyřazení – pokud čistý firmware neexistuje, Kaspersky doporučuje zařízení přestat používat

Podle nás je tohle ten nejnepříjemnější typ bezpečnostní hrozby: uživatel nemá šanci ji odhalit vlastní ostražitostí, protože problém existuje ještě dřív, než tablet poprvé zapne. Jediná spolehlivá obrana začíná u nákupního rozhodnutí a u otázky, zda ušetřených pár stovek stojí za riziko, že někdo na druhém konci světa může sledovat, co na tabletu děláte.