XCPE-Botnet zerschlagen: 1,3 Millionen Android-TV-Boxen waren infiziert

Am 2. November 2026 meldete die Google Threat Intelligence Group gemeinsam mit der japanischen Polizeibehörde und mehreren Sicherheitsunternehmen die Zerschlagung des XCPE-Botnets.

Das Netz umfasste weltweit mehr als 1,3 Millionen überwiegend ferngesteuerte Android-TV-Boxen. Neben Fernsehgeräten zählten nach Angaben der beteiligten Sicherheitsteams auch Telemedizin-Systeme, Karaoke-Maschinen und digitale Anzeigetafeln zu den betroffenen Endgeräten.

Ab Werk integrierte Hintertür in der Firmware

Nach Erkenntnissen von Google wurde die Hintertür von dem in Shenzhen ansässigen Hersteller Videostrong Technology, der unter anderem unter der Marke MECOOL firmiert, absichtlich in die Werks-Firmware integriert. Das Unternehmen verkaufte die Kontrolle über die Geräte anschließend an Cyberkriminelle.

Zudem erlaubte Videostrong weiteren Akteuren, Zugänge zu erwerben und eigene Schadmodule aufzuspielen. Die Schadsoftware entwickelte sich laut Berichten von einem einstufigen Dropper zu einer modularen, dreistufigen Plattform.

Um die Zertifizierungstests zu umgehen, setzte das Unternehmen auf Code-Verschleierung; die eigentlichen Schadfunktionen wurden erst nach der ersten Inbetriebnahme über das Internet nachgeladen.

Gemeinsam mit dem Sicherheitsunternehmen Synthient stellte Google fest, dass die Hintertür mindestens seit Ende 2024 entwickelt worden war. Sie trat unter Bezeichnungen wie „x.cpe“ oder „com.oemservice“ mit umfassenden Android-Systemrechten auf. Da die Schadkomponenten in der Systempartition abgelegt waren, installierten sie sich bei jedem Neustart des Geräts automatisch neu, selbst wenn Anwender zuvor eine Bereinigung versuchten.

Weltweiter Missbrauch für Klickbetrug und Proxy-Netzwerke

Über das MQTT-Protokoll konnten die Hintermänner die Geräte fernsteuern: Sie installierten unerwünschte Anwendungen, führten Befehle aus, erstellten Bildschirmfotos, sammelten Daten und schalteten teilweise Schutzdienste wie Google Play Protect gezielt ab. Die Angreifer nutzten die kompromittierten Systeme vor allem als sogenannte Residential Proxies, für Werbebetrug und zum Diebstahl von Nutzerdaten.

Das Analyseunternehmen TrendAI untersuchte den Datenverkehr im Zeitraum von Juni bis Oktober 2026 und registrierte Fälle in über 170 Ländern. Dabei wurden rund 3,8 Millionen Privat-IP-Adressen für illegalen Datenverkehr missbraucht.

Millionen Android-Geräte sind täglich Cyberkriminellen schutzlos ausgeliefert, da Sicherheitslücken oft unbemerkt bleiben. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr System effektiv absichern und Malware dauerhaft verhindern. 5 Schutzmaßnahmen für Android jetzt kostenlos entdecken

Am stärksten betroffen war demnach Malaysia mit fast 301.000 Fällen, gefolgt von Brasilien mit 150.000 Installationen sowie dem Irak, Mexiko und Taiwan. Andere Berichte beziffern das Ausmaß auf Geräte in mehr als 200 Ländern.

Google entzieht Zertifizierungen und schaltet Server ab

An dem gemeinsamen Einsatz gegen die Infrastruktur waren neben Google und der japanischen Nationalpolizei auch die Firmen Lumen, HUMAN Security, Plume und Synthient beteiligt. Google klagte auf die Sicherstellung der beteiligten Domains und nahm die Kontrollserver vom Netz. Nach Schätzungen des Unternehmens trennt dieser Schritt auch den Zugang zu mindestens zehn Millionen weiteren kompromittierten Geräten innerhalb desselben Ökosystems.

Als direkte Konsequenz beendete Google die Zusammenarbeit mit Videostrong vollständig, entzog die Android-TV-Lizenz und sperrte den Hersteller sowie künftige Tochterfirmen dauerhaft von der Produktion zertifizierter Android-Hardware aus. Zudem verschärft das Unternehmen die Prüfverfahren für Hersteller sowie die Integritätskontrollen von Firmware-Abbildern bei Android-TV-Geräten.

Wer sich mit der Sicherheit seiner vernetzten Geräte befasst, sollte den Schutz vor Hackern und Viren nicht dem Zufall überlassen. Erfahren Sie in diesem gratis PDF-Ratgeber, mit welchen Maßnahmen Sie Ihre Privatsphäre schützen und Datenmissbrauch wirksam vorbeugen. Kostenlosen Sicherheits-Ratgeber für Android-Nutzer herunterladen

Eine vollständige Liste aller betroffenen Gerätemodelle legte der Konzern bislang nicht vor. Sicherheitsexperten weisen darauf hin, dass das Kappen der Server zwar die aktuelle Fernsteuerung unterbricht, die Hintertür auf den betroffenen Geräten selbst jedoch aktiv bleibt.

Fachleute raten Nutzern von Android-TV-Boxen daher, solche Geräte grundsätzlich in getrennten Gastnetzwerken oder VLANs zu betreiben, Play Protect aktiviert zu lassen und betroffene Hardware im Verdachtsfall vom Internet zu trennen.