XCPE-botnettet: Google griber ind mod inficerede Android TV-bokse

Google og dets samarbejdspartnere har forstyrret XCPE-botnettet, som inficerede over 1,3 millioner Android TV-streamingbokse. I sin meddelelse den 2. november anklagede Google den kinesiske producent Videostrong Technology Co. for bevidst at installere malware under produktionen og sælge adgang til kriminelle samarbejdspartnere.

Google udelukker producent efter undersøgelse

Google oplyste, at virksomheden med høj grad af sikkerhed kunne knytte operationen til Videostrong. Ifølge efterforskerne udviklede og distribuerede producenten bagdøren på tværs af flere mærker og modeller gennem flere år. Derefter brugte kriminelle samarbejdspartnere de kompromitterede enheder til annoncesvindel, proxytrafik via private IP-adresser og installation af yderligere malware.

Som følge heraf afsluttede Google sit samarbejde med Videostrong og tilbagekaldte virksomhedens licens til at producere Android TV-enheder med forudinstallerede Google-apps og -tjenester. Forbuddet forhindrer også virksomheden og dens fremtidige tilknyttede selskaber i at producere certificerede Android-enheder. Derudover må de ikke levere software til certificerede leverandører.

Operationen involverede Japans nationale politimyndighed og sikkerhedsvirksomhederne Lumen, HUMAN Security, Plume, Synthient og TrendAI. Sammen analyserede de infrastrukturen og forstyrrede driften. Google oplyste, at nedlukningen af serverne også afbrød kriminelles adgang til mindst 10 millioner yderligere kompromitterede enheder, der var knyttet til mere end et dusin relaterede malwarefamilier.

Disse yderligere enheder blev dog ikke inficeret gennem XCPE. De omfattede tv-dekodere, karaokemaskiner og udstyr til fjernsundhedsydelser, og nogle af dem kørte ikke Android.

Fabriksinstalleret malware muliggjorde fjernstyring

I modsætning til malware, der kræver, at brugere downloader en inficeret app, byggede XCPE-botnettet på bagdøre indlejret i enhedernes firmware. Hovedkomponenterne, identificeret som x.cpe og com.oemservice, kørte med Androids systemrettigheder. Efter opstart kontaktede malwaren sin kontrolinfrastruktur for at hente forbindelsesoplysninger og modtage kommandoer.

Operatørerne kunne installere apps i det skjulte, deaktivere Google Play Protect og udføre kommandoer med forhøjede rettigheder. De kunne også tage skærmbilleder, simulere tastetryk og indsamle kontooplysninger eller systemlogfiler. Derudover understøttede bagdøren kortlægning af netværk og yderligere fjernadgang.

Samtidig genererede separate moduler indtægter gennem skjulte annoncer og uautoriserede proxytjenester. Disse tjenester dirigerede tredjeparters internettrafik gennem ofrenes enheder uden deres viden. Andre moduler installerede yderligere bagdøre, hvilket udvidede angribernes adgang.

Google oplyste, at operatørerne gentagne gange ændrede malwaren for at undgå at blive opdaget. De introducerede en separat indlæsningskomponent i slutningen af 2024 og begyndte derefter at erstatte den med mindre installationskomponenter i august 2026. Disse nyere komponenter udgav sig for at være Android-systemapps.

Forskere sporer forbindelser til Videostrong

Synthient indledte en undersøgelse efter at have fundet forudinstalleret malware på en MECOOL KM9PRO Max TV-boks, der blev købt i slutningen af 2025. Forskerne opdagede en offentligt tilgængelig servermappe, som indeholdt bagdøre og et dokument knyttet til Videostrongs forsknings- og udviklingsdirektør. De identificerede også fælles infrastruktur og virksomhedens e-mailadresser, som blev brugt til at signere skadelige komponenter.

Google oplyste, at beviserne pegede på bevidst involvering fra producenten snarere end en enkelt medarbejder eller en udviklingsfejl. Som følge heraf har virksomheden ændret sin gennemgangsproces for certificering. Efterforskerne oplyste, at Videostrong havde skjult skadelig kode og indlæst den, efter at enhederne blev startet første gang.

Operationen efterlader infektioner på berørte enheder

Selvom nedlukningen forstyrrede XCPE-botnettet, fjernede den ikke malwaren fra inficeret hardware. Bagdøren kan geninstallere sig selv fra enhedens /oem/-partition efter fjernelse. Derfor har berørte brugere brug for ren firmware for at fjerne infektionen, eller de må afbryde enhedens internetforbindelse for at forhindre yderligere skadelig aktivitet.