- Google hat XCPE gestoppt, einen Botnet mit mehr als 1,3 Millionen Android-TV-Boxen, die mit vorinstallierter Malware infiziert waren.
- Der Takedown blockierte den Remote-Zugriff der Kriminellen, doch das Backdoor bleibt in der Firmware der betroffenen Geräte eingebettet.
- Es wurde kein öffentlicher, XCPE-spezifischer Rückruf oder ein Update für saubere Firmware identifiziert, sodass sich Besitzer gezwungen sehen, Reparaturen oder Ersatz bei Verkäufern zu beantragen.
Google und seine Partner haben XCPE, ein Botnetz mit mehr als 1,3 Millionen Android-TV-Set-Top-Boxen, gestört, wie das Unternehmen am 2. November bekannt gab. Die Maßnahme beseitigte den Remote-Zugriff der Kriminellen auf die Boxen. Die schädliche Software bleibt jedoch in ihrer Firmware versteckt.
Für diejenigen, die die Boxen gekauft haben, ist die Frage, was nun geschieht. Eine Überprüfung der Ergebnisse von Google, TrendAI und Synthient sowie der MECOOL-Garantie-Seite am 3. November ergab keine Anzeichen für einen XCPE-bezogenen Produktrückruf, ein sauberes Firmware-Update oder ein Massenersatzprogramm. Die Überprüfung umfasste nur öffentlich zugängliche Dokumente und nicht die Reaktionen einzelner Verkäufer.
Wie der vorinstallierte Agent nach Hause telefoniert hat
Die Malware wurde mit dem Gerät ausgeliefert. Google stellte fest, dass x.cpe, auf einigen Geräten als com.oemservice bekannt, vorinstalliert in der Firmware mit Systemzugriff war. Selbst wenn es entfernt wird, installiert es sich nach einem Neustart automatisch aus der /oem/-Partition neu.
Sobald das Gerät eingeschaltet war und eine Verbindung zum Internet hergestellt hatte, begann der vorinstallierte Agent mit seinen Steuerungen zu kommunizieren und Befehle an com.abc.nexus oder neuere Loader zu senden.
Die Kriminellen konnten die MQTT-Nachrichten nutzen, um Anwendungen ohne Erlaubnis zu installieren, Befehle auszuführen und Bildschirme aufzuzeichnen. Laut TrendAI ist die System-App mit dem Schlüssel des Herstellers digital signiert. Dies erschwerte die Möglichkeit für die Besitzer, sie zu entfernen.
Wem Google die Schuld gibt
Google ist sich höchst sicher, dass Videostrong absichtlich einen Backdoor eingebaut und betrieben hat, um Geld zu verdienen. Der Hersteller soll den schädlichen Code getarnt haben, um die Zertifizierungsprüfungen von Android zu umgehen.
Als Reaktion darauf sperrte Google Videostrong und seine künftigen Partner von der Herstellung zertifizierter Android-Geräte sowie von der Lieferung von Software an zertifizierte Anbieter aus. Zudem wurden die Firmware-Prüfungen verschärft. Die japanische National Police Agency und mehrere Sicherheitsfirmen arbeiteten mit Google an der Unterbindung des Netzwerks.
Dem Geldfluss in das Heim-Breitbandnetz folgen
Der Betrug nutzte Heim-Internetverbindungen aus, um Einnahmen zu generieren. Infizierte TV-Boxen fungierten als Residential Proxies und gaben Dritten ohne Wissen der Box-Besitzer Zugang. Außerdem setzten die Angreifer Ad-Fraud-Programme ein. Vom 3. Juni bis zum 1. Oktober 2026 überwachte TrendAI 3,85 Millionen eindeutige Residential-Exit-IP-Adressen.
Verbindungen zu Heimnetzwerken sind für Kriminelle nützlich, da ihre Aktivitäten dann legitim erscheinen. Laut dem FBI ist dies auf den Einsatz von Residential Proxies zurückzuführen, die Kriminelle wie normale Verbraucher aussehen lassen. Werbetreibende sehen sich ähnlichen Gefahren ausgesetzt. DoubleVerify hat im ersten Quartal 2026 140 % mehr Betrugsschemata und Variationen bei Connected-TV-Fraud festgestellt als im Vorjahr. Allerdings fallen nicht alle dieser Betrugsfälle unter die Kategorie XCPE.
Welche Boxen sind betroffen und was können Besitzer tun
Synthient untersuchte eine MECOOL KM9PRO Max und listete Modell-Strings einschließlich KM9PRO_MAX, KM7PLUS und KD3 auf. Ein übereinstimmender Name allein beweist noch keine Infektion.
Die Garantie von MECOOL bietet 30-tägige Rückgabemöglichkeiten und einen Jahr umfassende Abdeckung bei Qualitätsmängeln, jedoch keine spezifische Lösung für XCPE. Besorgte Besitzer sollten verdächtige Boxen vom Stromnetz trennen und die Verkäufer um eine dokumentierte Reparatur oder einen Ersatz bitten.
Warum ein toter C2 nicht das Ende bedeutet
Google griff auch Affiliate-Control-Domains an, von denen geschätzt wird, dass sie mindestens 10 Millionen weitere kompromittierte Geräte abschneiden könnten. Diese sind separat von den 1,3 Millionen XCPE-Geräten.
Das Risiko eines Comebacks ist real. Ein früherer, anderer Android-TV-Botnet wuchs von 74.000 Geräten im Jahr 2023 auf mehr als 10 Millionen bis 2025, wie Cryptopolitan berichtete.
Der Markt ist noch viel größer. Grand View Research prognostiziert 318,6 Milliarden US-Dollar an globalen Connected-TV-Einnahmen für 2026. Pixalate stuft den Anteil von Roku am globalen programmatischen CTV-Werbeverkehr auf 36 % ein. Keine der beiden Zahlen misst die Verluste durch XCPE.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Häufig gestellte Fragen
Was ist der XCPE-Botnet?
XCPE ist ein Backdoor, der in der Firmware von mehr als 1,3 Millionen Android-Geräten vorinstalliert ist, hauptsächlich TV-Set-Top-Boxen und Projektoren, die sie in ein Botnetz aufgenommen haben, das für Ad-Fraud, Residential-Proxy-Traffic und das Laden weiterer Malware verwendet wird, so Google.
Kann ich die Malware mit einem Werkseinstellungen-Reset entfernen?
Nicht zuverlässig. TrendAI sagt, dass die Implantate als System-App ausgeführt werden, die mit dem Schlüssel des Herstellers signiert ist, sodass die Entfernung den Anbieter, eine plattformweite Korrektur oder ein neues Gerät erfordert, und das FBI warnt, dass einige werkseitig installierte Malware durch einen Reset bestehen bleibt.
Wer ist laut Google verantwortlich?
Google schätzt mit hoher Sicherheit, dass Videostrong Technology Co. den Backdoor absichtlich gebaut und monetarisiert hat, und hat das Unternehmen sowie seine zukünftigen Tochtergesellschaften dauerhaft davon ausgeschlossen, zertifizierte Android-Geräte herzustellen oder Software an zertifizierte Anbieter zu liefern.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Micah Abiodun
Micah Abiodun nutzt sein Masterstudium in Umwelttechnik und -management (MSc) an der Technischen Universität Tallinn (TalTech), um Inhalte und Preisprognose-Nachrichten bei Cryptopolitan zu verfeinern. Seit nunmehr sieben Jahren im Krypto-Medienbereich tätig, berichtet er über große Kryptowährungen, Altcoins, DeFi, Stablecoins, makroökonomische Trends und aufkommende Technologien.
