Google hat ein Botnetz zerschlagen, das sich in TV-Boxen versteckte, und das Unternehmen benannt, das diese Boxen hergestellt hat. Am 2. November 2026 veröffentlichte Googles Threat Intelligence Group eine Offenlegung mit dem Titel Shutting the Door on the XCPE Botnet. Darin heißt es, das XCPE-Botnetz habe mehr als 1,3 Millionen Geräte in über 200 Ländern und Regionen registriert, die überwältigende Mehrheit davon Android-TV-Set-Top-Boxen. Google bewertete mit hoher Zuversicht, dass die Hintertür von Videostrong, einem Hersteller mit Sitz in Shenzhen, absichtlich in die Firmware eingebaut, eingesetzt und zum finanziellen Gewinn betrieben wurde. Google hat die Geschäftsbeziehungen zu dem Unternehmen abgebrochen und ihm dauerhaft verboten, zertifizierte Android-Geräte herzustellen.
Die Hintertür lebte in der Firmware und schlief während der Tests
Der Kern der XCPE-Hintertür ist ein Programm namens x.cpe, das in einigen Firmware-Versionen auch unter dem Namen com.oemservice auftritt und mit Android-Berechtigungen auf Systemebene läuft. Sie kam nicht mit dem Herunterladen einer App auf die Geräte, sondern wurde vor der Auslieferung in die Firmware geschrieben. Googles Untersuchung zufolge hielt Videostrong die Hintertür während der Einreichung zur Prüfung schlafend, umging so Kompatibilitäts- und Sicherheitstests und lud die schädliche Nutzlast erst nach dem ersten Start eines Geräts. Selbst nach dem Entfernen installiert sich die Hintertür beim Neustart aus einer Firmware-Partition neu. Betroffen waren nicht nur TV-Boxen, sondern auch Telemedizin-Geräte, Karaoke-Maschinen und digitale Beschilderung. Videostrong verkauft TV-Boxen unter der eigenen Marke MECOOL und fertigt zugleich Hardware für andere Marken, sodass dieselbe Hintertür bei mehreren Marken und Modellen auftauchte. Die gekaperten Geräte wurden anschließend an kriminelle Gruppen vermietet, für Werbebetrug, Proxy-Verkehr und die Installation weiterer Schadsoftware.
Die Zerschlagung reichte über die 1,3 Millionen Geräte hinaus
Die Operation fand Ende Oktober statt und wurde erst am 2. November offengelegt. Google arbeitete mit der japanischen National Police Agency, Lumen, HUMAN Security, Plume, Synthient und TrendAI zusammen und beschlagnahmte mit rechtlichen Mitteln die Befehlsserver und Domains des Botnetzes. Google bewertete, dass die Zerschlagung der Befehlsinfrastruktur verbundener Gruppen Kriminelle auch von mindestens 10 Millionen weiteren infizierten Geräten abschneiden könnte. Diese 10 Millionen Geräte gehören nicht zum XCPE selbst; es sind andere Geräte, die über dieselben Vertriebskanäle infiziert wurden. Google erklärte außerdem, die Integritätsprüfungen der Firmware für zertifizierte Android-Geräte verschärft zu haben, um die Lücke zu schließen, durch die eine Hintertür die Prüfung verschlafen und erst nach dem ersten Start aktiv werden konnte.
Zwei Grenzen müssen gezogen werden. Erstens ist die Zuschreibung der 1,3 Millionen Geräte eine Bewertung von Googles Threat Intelligence Group, kein Gerichtsurteil. Zweitens bietet Googles Offenlegung normalen Nutzern keine Möglichkeit, die Hintertür aus bereits ausgelieferten Geräten selbst zu entfernen; zerschlagen wurde das Befehlsende, nicht die Firmware in jedem einzelnen Gerät. Für Käufer billiger Android-TV-Boxen steckt das eigentliche Problem weiterhin im Gerät selbst: Eine in die Werksfirmware geschriebene Hintertür lässt sich möglicherweise selbst durch ein Zurücksetzen auf die Werkseinstellungen nicht entfernen.
