XCPE-Botnetz: Google geht gegen infizierte Android-TV-Boxen vor

Google und seine Partner haben das XCPE-Botnetz gestört, das mehr als 1,3 Millionen Android-TV-Streaming-Boxen infiziert hatte. In seiner Mitteilung vom 2. November beschuldigte Google den chinesischen Hersteller Videostrong Technology Co., während der Produktion absichtlich Schadsoftware zu installieren und den Zugang zu den Geräten an kriminelle Partner zu verkaufen.

Google sperrt Hersteller nach Untersuchung

Google erklärte, dass das Unternehmen die Operation mit hoher Sicherheit Videostrong zuordnen könne. Nach Angaben der Ermittler entwickelte und verbreitete der Hersteller die Hintertür über mehrere Jahre hinweg auf verschiedenen Marken und Modellen. Anschließend nutzten kriminelle Partner die kompromittierten Geräte für Werbebetrug, Proxy-Datenverkehr über private IP-Adressen und die Installation weiterer Schadsoftware.

Infolgedessen beendete Google seine Zusammenarbeit mit Videostrong und entzog dem Unternehmen die Lizenz zur Herstellung von Android-TV-Geräten mit vorinstallierten Google-Anwendungen und -Diensten. Das Verbot hindert außerdem das Unternehmen und seine zukünftigen verbundenen Unternehmen daran, zertifizierte Android-Geräte herzustellen. Darüber hinaus dürfen sie keine Software an zertifizierte Anbieter liefern.

An der Operation waren die japanische nationale Polizeibehörde sowie die Sicherheitsunternehmen Lumen, HUMAN Security, Plume, Synthient und TrendAI beteiligt. Gemeinsam analysierten sie die Infrastruktur und störten deren Betrieb. Google erklärte, dass die Abschaltung der Server auch den kriminellen Zugriff auf mindestens 10 Millionen weitere kompromittierte Geräte unterbrochen habe, die mit mehr als einem Dutzend verwandter Schadsoftwarefamilien in Verbindung standen.

Diese zusätzlichen Geräte wurden jedoch nicht über XCPE infiziert. Dazu gehörten Set-Top-Boxen, Karaoke-Maschinen und Geräte für telemedizinische Anwendungen. Einige davon verwendeten kein Android.

Werkseitig installierte Schadsoftware ermöglichte Fernsteuerung

Anders als Schadsoftware, bei der Nutzer eine infizierte Anwendung herunterladen müssen, basierte das XCPE-Botnetz auf Hintertüren, die in die Firmware der Geräte integriert waren. Seine Hauptkomponenten, die als x.cpe und com.oemservice identifiziert wurden, arbeiteten mit Android-Systemberechtigungen. Nach dem Start kontaktierte die Schadsoftware ihre Kontrollinfrastruktur, um Verbindungsinformationen abzurufen und Befehle zu empfangen.

Die Betreiber konnten unbemerkt Anwendungen installieren, Google Play Protect deaktivieren und Befehle mit erweiterten Berechtigungen ausführen. Außerdem konnten sie Screenshots erstellen, Tastatureingaben simulieren und Kontoinformationen oder Systemprotokolle sammeln. Darüber hinaus unterstützte die Hintertür die Erkundung von Netzwerken und weiteren Fernzugriff.

Unterdessen erzielten separate Module Einnahmen durch versteckte Werbung und nicht autorisierte Proxy-Dienste. Diese Dienste leiteten den Internetverkehr Dritter ohne deren Wissen über die Geräte der Opfer. Andere Module installierten zusätzliche Hintertüren und erweiterten damit die Zugriffsmöglichkeiten der Angreifer.

Google erklärte, dass die Betreiber die Schadsoftware wiederholt veränderten, um einer Entdeckung zu entgehen. Ende 2024 führten sie eine separate Ladekomponente ein, bevor sie im August 2026 damit begannen, diese durch kleinere Installationskomponenten zu ersetzen. Diese neueren Komponenten tarnten sich als Android-Systemanwendungen.

Forscher verfolgen Verbindungen zu Videostrong

Synthient leitete eine Untersuchung ein, nachdem das Unternehmen auf einer Ende 2025 gekauften MECOOL KM9PRO Max TV-Box vorinstallierte Schadsoftware entdeckt hatte. Die Forscher fanden ein öffentlich zugängliches Serververzeichnis mit Hintertüren und einem Dokument, das mit dem Forschungs- und Entwicklungsleiter von Videostrong in Verbindung stand. Außerdem identifizierten sie gemeinsam genutzte Infrastruktur und E-Mail-Adressen des Unternehmens, die zum Signieren schädlicher Komponenten verwendet wurden.

Google erklärte, dass die Beweise auf eine vorsätzliche Beteiligung des Herstellers hindeuteten und nicht auf die Handlung eines einzelnen Mitarbeiters oder einen Entwicklungsfehler. Infolgedessen hat das Unternehmen seinen Prüfprozess für die Zertifizierung geändert. Die Ermittler erklärten, dass Videostrong schädlichen Code verborgen und diesen erst nach dem ersten Start der Geräte geladen habe.

Störung lässt Infektionen auf betroffenen Geräten zurück

Obwohl die Abschaltung den Betrieb des XCPE-Botnetzes störte, entfernte sie die Schadsoftware nicht von der infizierten Hardware. Die Hintertür kann sich nach ihrer Entfernung aus der /oem/-Partition des Geräts erneut installieren. Daher benötigen betroffene Nutzer eine saubere Firmware, um die Infektion zu beseitigen. Alternativ müssen sie das Gerät vom Internet trennen, um weitere schädliche Aktivitäten zu verhindern.