Google hat eine weltweite Botnetz-Infrastruktur zerschlagen, die heimlich auf mehr als 1,3 Millionen Android-Geräten lief. Die Hintertür namens XCPE war nach Angaben der Google Threat Intelligence Group direkt in die Firmware von zertifizierten Streaming-Boxen eingebaut worden.
Im November 2026 bestätigten Cybersicherheitsforscher und Konzernvertreter die gezielte Manipulation von Streaming-Hardware. Hinter dem verdeckten Netzwerk steht der chinesische Hardwarehersteller Videostrong Technology Co. mit Sitz in Shenzhen. Das Unternehmen lieferte über mehrere Jahre Geräte aus, bei denen im laufenden Betrieb eine schädliche Softwarekomponente aktiviert wurde.
XCPE-Netzwerk missbraucht Geräte für Werbebetrug
Die infizierten Geräte – überwiegend Android TV Set-Top-Boxen, aber auch Karaoke-Maschinen und digitale Werbeanzeigen-Displays – wurden für Werbebetrug und den unbemerkten Betrieb von Proxy-Diensten missbraucht.
The Verge zitiert die offiziellen Erkenntnisse, wonach die Hintertür gezielt entwickelt wurde, um kriminellen Partnern entgeltlichen Zugriff auf die heimischen Internetanschlüsse der Opfer zu verschaffen.
Internationale Allianz bekämpft kriminelle Server
An der Enttarnung und Abschaltung des Botnets war eine internationale Allianz beteiligt. Neben Google arbeiteten die National Police Agency in Japan sowie die Sicherheitsfirmen Synthient, Trend Micro, Lumen, HUMAN Security und Plume eng zusammen, berichtet Arstechnica.
Die beteiligten Unternehmen gingen rechtlich gegen diverse Serverstrukturen vor.
Die meisten betroffenen Boxen befanden sich in Ländern wie Brasilien, Malaysia, dem Irak, Mexiko und Taiwan. Zehntausende Geräte waren jedoch auch in den Vereinigten Staaten, Deutschland, Grossbritannien, Australien und Kanada online, so die Zählung von Trend Micro.
Google beendet Zusammenarbeit mit Hersteller
Als Konsequenz aus dem Vorfall hat Google die Zusammenarbeit mit Videostrong beendet.
WTF!!! The same Android TV box that LinusTechTops covered in 2023 was exposed for running a large botnet The MECOOL TV box is apart of the XCPE botnet which infected 1.3m devices according to @synthient https://t.co/JeqRcRJdFH pic.twitter.com/4ykzppyPL5
Der Betrieb und sämtliche Tochtergesellschaften werden nicht mehr berechtigt sein, zertifizierte Android-Geräte herzustellen oder zu verkaufen, wie Business Standard ausführt. Zudem passte der Konzern seine internen Prüfprozesse an.
Da die Kontrollserver und Domains der Täter durch gerichtliche Schritte blockiert wurden, verloren die Betreiber den direkten Draht zu zahlreichen weiteren Systemen. Google schätzt, dass die Massnahme den Zugriff auf mindestens zehn Millionen zusätzliche, anderweitig kompromittierte Geräte unterbricht.
Verbraucherschützer und beteiligte Analysten raten Nutzern von betroffenen White-Label-Geräten und Fabrikaten wie MECOOL zur grössten Vorsicht.
Schwachstellen treffen zertifiziertes Android-Ökosystem
Sicherheitsexperten und Analysten werten den Vorfall als bedeutsamen Fall von Schwachstellen in der Hardware-Lieferkette. Bislang hatten sich Sicherheitsbedenken im Softwarebereich meist auf nachgelagerte Bibliotheken oder Open-Source-Builds konzentriert.
Bei Videostrong handelte es sich jedoch um einen Partner mit direktem Zugang zum zertifizierten Android-Ökosystem.
Die Ermittlungen zeigten Parallelen zu früheren Vorfällen wie dem im März 2025 entdeckten BADBOX 2.0-Botnet, das über zehn Millionen Geräte umfasste. Während frühere Kampagnen meist auf unzertifizierte Hardware auf Basis des Android Open Source Project (AOSP) abzielten, traf XCPE auch Geräte, die das Google-Zertifizierungssiegel tragen durften.
Welche weiteren Hersteller in die Manipulationen verwickelt sind und ob gegen Verantwortliche bei Videostrong in China formelle Anklagen erhoben werden, ist noch nicht bekannt.
