Google und mehrere Partner aus der Branche haben das XCPE-Malware-Botnetz gestört. Nach Angaben des Unternehmens war die Schadsoftware während der Herstellung in mehr als 1,3 Millionen Android-TV-Streaming-Boxen eingebettet worden. Google schreibt den Betrieb mit hoher Wahrscheinlichkeit dem chinesischen Gerätehersteller Videostrong Technology Co. zu und wirft dem Unternehmen vor, eine dauerhafte Hintertür installiert und Kriminellen gegen finanzielle Vorteile Zugang verkauft zu haben.

Die kompromittierten Geräte wurden für verschiedene Arten von Cyberkriminalität eingesetzt. Partner betrieben Module für Werbebetrug, wandelten die Boxen in Residential-Proxys um und installierten zusätzliche Schadsoftware. Google schaltete außerdem Command-and-Control-Server ab, die von mehr als einem Dutzend verwandter Malware-Familien genutzt wurden, und unterband damit den Zugriff auf mindestens 10 Millionen weitere kompromittierte Geräte. Zu diesen Geräten gehörten im Einzelhandel erhältliche Set-Top-Boxen, Karaoke-Geräte und Telemedizin-Hardware; nicht alle davon waren Android-Produkte.

Google hat seine Geschäftsbeziehung zu Videostrong beendet, die Genehmigung des Unternehmens zur Herstellung von Android-TV-Geräten mit vorinstallierten Google-Anwendungen und -Diensten widerrufen und Videostrong sowie künftige Partner daran gehindert, zertifizierte Android-Geräte herzustellen oder Software an zertifizierte Anbieter zu liefern.

Die XCPE-Malware unterschied sich von Botnetzen, die Geräte typischerweise über Software-Schwachstellen oder irreführende Downloads infizieren. Laut Google wurde sie direkt in die Firmware der Geräte integriert und über mehrere Jahre hinweg auf mehrere Marken und Modelle verteilt. Ihre primären Komponenten, die als x.cpe und com.oemservice verfolgt werden, liefen mit Berechtigungen auf Android-Systemebene und nutzten ein modulares Design, das Hintertür-Funktionen von Tools zur Erzielung von Einnahmen trennte.

Nachdem ein infiziertes Gerät gestartet war, nahm die Malware Kontakt zur Infrastruktur unter der Domain anyevonline[.]com auf, um Verbindungsdaten und Zugangsdaten für einen unter mqtt.szbboys[.]com gehosteten MQTT-Broker abzurufen. Die Betreiber konnten anschließend aus der Ferne Befehle erteilen und zusätzliche Anwendungen installieren, Google Play Protect deaktivieren, Shell-Befehle ausführen, Screenshots aufnehmen, Tastatureingaben protokollieren sowie Konto-, Geräte-, Anwendungs- und Systeminformationen sammeln. Die Malware konnte außerdem Netzwerke auskundschaften und Reverse-Shells einrichten.

Google erklärte, dass die Plattform Module für Residential-Proxy-Dienste wie Linkfog, AppSalt/Honeygain, GaGaNode, NetNut und Traffmonetizer unterstützte. Diese Dienste leiteten Datenverkehr Dritter über infizierte Geräte, ohne Wissen oder Zustimmung ihrer Besitzer. Andere Module erzeugten betrügerische Werbeaktivitäten, installierten zusätzliche Hintertüren und luden weitere Schadsoftware herunter.

Die Betreiber änderten die Malware wiederholt, um ihre Erkennung zu erschweren. Ende 2024 führten sie einen separaten Loader namens com.abc.nexus ein; seit August 2026 hatten sie begonnen, ihn durch kleinere Dropper zu ersetzen, die als Android-Systemanwendungen getarnt waren.

Das Cybersicherheitsunternehmen Synthient brachte die Malware und ihre Infrastruktur mit Videostrong in Verbindung, nachdem es die Hintertür vorinstalliert auf einer Ende 2025 gekauften Android-TV-Box MECOOL KM9PRO Max gefunden hatte. Die Forschenden identifizierten außerdem ein öffentlich zugängliches Verzeichnis mit Hintertüren und einer PDF-Datei, die mit Owen Cao, dem Forschungs- und Entwicklungsleiter von Videostrong, in Verbindung stand. Sie stellten fest, dass die Domain von Videostrong auf dieselbe IP-Adresse wie ein XCPE-Command-and-Control-Server aufgelöst wurde und dass Unternehmens-E-Mail-Adressen zum Signieren der Hintertüren verwendet worden waren.

Google erklärte, die Beweise deuteten auf eine absichtliche Installation durch den Hersteller hin und nicht auf einen isolierten Insider oder einen versehentlichen Fehler bei der Entwicklung. Das Unternehmen hat außerdem seinen Zertifizierungsprüfprozess geändert, nachdem festgestellt worden war, dass Videostrong Verschleierungstechniken eingesetzt hatte, um Tests zu umgehen und schädlichen Code zu laden, nachdem die Geräte ihren ersten Start abgeschlossen hatten.

Obwohl die Maßnahme die Infrastruktur des Botnetzes beeinträchtigte, erklärte Google, dass die Malware auf infizierten Geräten verbleibt. Wird sie entfernt, kann sie sich aus der Partition /oem/ erneut installieren. Nutzer müssten eine saubere Firmware installieren, um die Infektion zu entfernen, oder betroffene Geräte vom Internet trennen, um weitere schädliche Aktivitäten zu verhindern.

An dem Vorgehen waren die japanische Nationale Polizeibehörde sowie die Sicherheitsunternehmen Lumen, HUMAN Security, Plume, Synthient und TrendAI beteiligt.

Quellen: BleepingComputer.