Google legt XCPE-Botnetz lahm: Die Hintertür kam laut Google vom Hersteller
Google hat die Server des XCPE-Botnetzes mit über 1,3 Mio. Android-TV-Boxen abgeschaltet. Den Einbau der Hintertür ordnet Google dem Hersteller Videostrong zu. Auch in Deutschland sind Zehntausende Geräte betroffen.
Normalerweise baut ein Angreifer die Hintertür ein. Hier soll es laut Google der Hersteller selbst gewesen sein. Ende Oktober 2026 hat Google die Server hinter XCPE abgeschaltet. Das Botnetz umfasst mehr als 1,3 Millionen Android-Geräte, fast alle davon TV-Set-Top-Boxen.
Was passiert ist
XCPE (intern „x.cpe“) ist eine Hintertür, die schon in der Firmware der Boxen steckt, also in der fest installierten Gerätesoftware. Sie läuft als System-App mit vollen Rechten und meldet sich bei Command-and-Control-Servern. Das sind Steuerserver, über die die Betreiber den Geräten Befehle schicken. Laut Help Net Security installiert sich die Hintertür nach einem Neustart aus einer geschützten Partition neu. Wer die App löscht, ist sie damit nicht los. Um unbemerkt Software nachzuladen, schaltet XCPE die App-Prüfung von Google Play Protect ab.
Googles Threat Intelligence Group ordnet XCPE „mit hoher Sicherheit“ dem chinesischen Hersteller Videostrong Technology aus Shenzhen zu. Videostrong baut Android-TV-Boxen unter eigenem Namen und für andere Marken. Laut The Hacker News hat Google mehrere Belege gefunden:
- XCPE reicht Einstellungen an andere Videostrong-Apps weiter.
- Ein GitHub-Konto, auf dem Pakete des Botnetzes lagen, heißt „yf-videostrong“.
- Das Partnerunternehmen Synthient fand auf einem Server des Botnetzes ein Dokument, das der Entwicklungsleiter von Videostrong unterschrieben hat.
- Eine Videostrong-Domain und das Steuerpanel der Betreiber teilten sich eine IP-Adresse.
Das Geschäftsmodell sah laut den Berichten so aus: Videostrong verkaufte Kriminellen Zugang zu den Boxen. Diese spielten eigene Module auf. Die meisten Module machten die Boxen zu Residential Proxys. Dabei wird fremder Internetverkehr über private Heimanschlüsse geleitet, damit er wie normaler Haushaltsverkehr aussieht. Andere Module riefen im Hintergrund Werbung ab, die niemand sah, also Werbebetrug. Die Betreiber konnten außerdem Screenshots machen, Tastatureingaben einschleusen, Zugangsdaten und Systemprotokolle kopieren und eine Fernsteuerung per Shell öffnen.
Wie Google vorgegangen ist
Google ist juristisch gegen die Domains und Server vorgegangen, die das Botnetz steuerten. Das betraf auch die Steuerinfrastruktur von mehr als einem Dutzend weiterer Schadsoftware-Familien. Beteiligt waren die japanische Nationale Polizeibehörde sowie Lumen, HUMAN Security, Plume, Synthient und TrendAI, die Enterprise-Sparte von Trend Micro. Videostrong und mögliche künftige Tochterfirmen dürfen keine zertifizierten Android-Geräte mehr bauen und keine Software an zertifizierte Hersteller liefern. Google will außerdem die Firmware-Prüfung für zertifizierte Android-TV-Geräte verschärfen und hat eine Lücke im Prüfprozess für Hersteller geschlossen.
Was sich seit meinem Post geändert hat
Im Post hatte ich geschrieben, die Verbreitung in Deutschland sei unklar. Inzwischen gibt es Zahlen. Laut The Hacker News gab es die meisten Infektionen in Malaysia, Brasilien, dem Irak, Mexiko und Taiwan. Die USA, Deutschland, Großbritannien, Australien und Kanada kommen jeweils auf etwa 26.000 bis 42.000 Geräte. TrendAI hat zwischen Juni und Oktober sogar 1.472.554 infizierte Geräte in 206 Modellen gezählt, also mehr als die 1,3 Millionen von Google. Bei den Marken fallen vor allem MECOOL-Boxen auf. Synthient hat eine Liste mit 182 Modellnamen veröffentlicht. Ein Modellname allein beweist aber noch keine Infektion. Betroffen sind laut Plume sowohl von Google zertifizierte Geräte als auch Boxen mit reinem AOSP, dem offenen Android ohne Google-Dienste. Die Hintertür steckte auch in Telemedizin-Geräten, Karaoke-Maschinen und digitalen Werbetafeln.
Google rechnet damit, dass die Abschaltung den Kriminellen den Zugriff auf mindestens 10 Millionen weitere Geräte nimmt, die auf anderen Wegen infiziert wurden.
Was du tun solltest
Einen Patch gibt es nach allem, was bekannt ist, nicht. Die Server sind zwar abgeschaltet, aber die Hintertür steckt weiter in der Firmware. Wer das Gerät kontrolliert, kann es also wieder in Gebrauch nehmen.
- Box prüfen: Hast du eine günstige Android-TV-Box, vor allem von MECOOL oder einer No-Name-Marke? Dann vergleiche das Modell mit der Liste von Synthient.
- Im Zweifel ersetzen: Synthient rät, betroffene Boxen zu entsorgen. Plume empfiehlt mindestens einen vollständigen Werksreset, sagt aber nicht, ob der XCPE entfernt. Laut TrendAI wird man die Hintertür nur über den Hersteller, über Schutzfunktionen der Plattform oder durch Austausch des Geräts los. Meine Einordnung: Ein Werksreset reicht hier wahrscheinlich nicht. Die Box gehört raus.
- Netz trennen: Smart-TV-Geräte und andere IoT-Geräte gehören in ein eigenes Netz, etwa ein Gäste-WLAN oder VLAN, getrennt von Rechnern und NAS.
- Für Firmen: Mit den veröffentlichten Indikatoren nach solchen Geräten suchen, die gelisteten Steuerdomains blockieren und private, nicht verwaltete Geräte im Homeoffice als Teil der Angriffsfläche behandeln.
Mein Rat bleibt: Bei der 30-Euro-Box ohne bekannte Marke bezahlst du am Ende vielleicht mit deinem Internetanschluss.