XCPE-botnätet: Google slår till mot infekterade Android TV-boxar

Google och dess samarbetspartner har slagit ut XCPE-botnätet, som infekterade över 1,3 miljoner Android TV-boxar för strömning. I sitt tillkännagivande den 2 november anklagade Google den kinesiska tillverkaren Videostrong Technology Co. för att medvetet installera skadlig kod under produktionen och sälja åtkomst till kriminella samarbetspartner.

Google stoppar tillverkaren efter utredning

Google uppgav att företaget med hög säkerhet kunde koppla verksamheten till Videostrong. Enligt utredarna utvecklade och distribuerade tillverkaren bakdörren i flera varumärken och modeller under flera år. Därefter använde kriminella samarbetspartner de komprometterade enheterna för annonsbedrägerier, trafik via proxyservrar med privata IP-adresser och installation av ytterligare skadlig kod.

Därför avslutade Google sitt samarbete med Videostrong och återkallade företagets licens att tillverka Android TV-enheter med förinstallerade Google-appar och tjänster. Förbudet hindrar även företaget och dess framtida närstående bolag från att tillverka certifierade Android-enheter. Dessutom får de inte leverera programvara till certifierade tillverkare.

Insatsen genomfördes tillsammans med Japans nationella polismyndighet och säkerhetsföretagen Lumen, HUMAN Security, Plume, Synthient och TrendAI. Tillsammans analyserade de infrastrukturen och störde verksamheten. Google uppgav att nedstängningen av servrarna även stoppade kriminellas åtkomst till minst 10 miljoner ytterligare komprometterade enheter som kopplats till över ett dussin relaterade familjer av skadlig kod.

Dessa ytterligare enheter infekterades dock inte via XCPE. De omfattade digitalboxar, karaokemaskiner och utrustning för digital vård, och vissa använde inte Android.

Fabriksinstallerad skadlig kod möjliggjorde fjärrstyrning

Till skillnad från skadlig kod som kräver att användare laddar ner en infekterad app byggde XCPE-botnätet på bakdörrar som integrerats i enheternas fasta programvara. Dess huvudsakliga komponenter, identifierade som x.cpe och com.oemservice, kördes med Androids systembehörigheter. Efter uppstart kontaktade den skadliga koden sin kontrollinfrastruktur för att hämta anslutningsuppgifter och ta emot kommandon.

Operatörerna kunde installera appar i hemlighet, inaktivera Google Play Protect och köra kommandon med förhöjda behörigheter. De kunde även ta skärmbilder, simulera tangenttryckningar och samla in kontouppgifter eller systemloggar. Dessutom stödde bakdörren kartläggning av nätverk och ytterligare fjärråtkomst.

Samtidigt genererade separata moduler intäkter genom dolda annonser och obehöriga proxytjänster. Dessa tjänster dirigerade tredje parters internettrafik genom offrens enheter utan deras vetskap. Andra moduler installerade ytterligare bakdörrar, vilket utökade angriparnas åtkomst.

Google uppgav att operatörerna upprepade gånger ändrade den skadliga koden för att undvika upptäckt. De introducerade en separat laddningskomponent i slutet av 2024 och började sedan ersätta den med mindre installationskomponenter i augusti 2026. Dessa nyare komponenter utgav sig för att vara Android-systemappar.

Forskare spårar kopplingar till Videostrong

Synthient inledde en utredning efter att ha hittat förinstallerad skadlig kod på en MECOOL KM9PRO Max TV-box som köptes i slutet av 2025. Forskarna upptäckte en offentligt tillgänglig serverkatalog som innehöll bakdörrar och ett dokument kopplat till Videostrongs forsknings- och utvecklingschef. De identifierade även gemensam infrastruktur och företagsadresser för e-post som användes för att signera skadliga komponenter.

Google uppgav att bevisen pekade på medveten inblandning från tillverkaren snarare än en enskild anställd eller ett utvecklingsmisstag. Därför har företaget ändrat sin granskningsprocess för certifiering. Utredarna uppgav att Videostrong hade dolt skadlig kod och laddat in den efter att enheterna startats för första gången.

Insatsen lämnar kvar infektioner på drabbade enheter

Även om nedstängningen störde XCPE-botnätets verksamhet tog den inte bort den skadliga koden från infekterad hårdvara. Bakdörren kan installera om sig själv från enhetens /oem/-partition efter borttagning. Därför behöver drabbade användare ren fast programvara för att eliminera infektionen. Annars måste de koppla bort enheten från internet för att förhindra ytterligare skadlig aktivitet.