Android-TV-Boxen: XCPE-Hintertür steckt in mehr als 1,3 Millionen Geräten

Die Google Threat Intelligence Group hat gemeinsam mit internationalen Partnern eine massive Sicherheitsverletzung in der Lieferkette aufgedeckt: Der chinesische Hardwarehersteller Videostrong Technology aus Shenzhen hat eine Schadsoftware namens XCPE vorsätzlich in die Werksfirmware von mehr als 1,3 Millionen Android-Geräten integriert. Den unbefugten Gerätezugriff verkaufte das Unternehmen anschließend an Cyberkriminelle.

Betroffen sind weltweit vor allem Android-TV-Boxen, aber auch Karaoke-Anlagen, digitale Anzeigetafeln sowie Geräte aus dem Telemedizin-Bereich. Google reagierte mit harten Konsequenzen, bezeichnete das Vorgehen als inakzeptablen Vertrauensbruch und beendete die Geschäftsbeziehungen zu dem Hersteller. Videostrong sowie künftigen Tochtergesellschaften wurde die Produktion und der Vertrieb zertifizierter Android-Geräte dauerhaft untersagt.

Tarnung im System und Umgehung von Kontrollen

Nach Erkenntnissen der Google Threat Intelligence Group war die Hintertür seit mindestens Ende 2024 aktiv. Die Schadsoftware lief mit umfassenden Systemrechten unter Bezeichnungen wie com.oemservice oder x.cpe.

Da sie in der schreibgeschützten OEM-Partition des Betriebssystems verankert war, installierte sie sich nach einem Löschversuch bei jedem Neustart automatisch neu. Ein herkömmliches Zurücksetzen auf die Werkseinstellungen reicht daher in vielen Fällen nicht aus, um die Infektion zu beseitigen.

Videostrong umging die regulären Zertifizierungstests von Google durch gezielte Code-Verschleierung. Die bösartigen Komponenten wurden erst nach der ersten Inbetriebnahme aus dem Internet nachgeladen. Einmal aktiv, war die Hintertür zudem in der Lage, den geräteeigenen Schutzmechanismus Google Play Protect eigenständig abzuschalten.

Kriminelle Nutzung und weltweites Ausmaß

Käufer der betroffenen Geräte dienten Cyberkriminellen unwissentlich als Werkzeug: Die Systeme wurden als sogenannte Residential-Proxys missbraucht, um fremden Datenverkehr über die privaten Internetanschlüsse der Betroffenen umzuleiten.

Daneben nutzten Angreifer die Rechner für großflächigen Werbebetrug mit manipulierten Anzeigen, erstellten Screenshots, fingen Tastatureingaben ab, stahlen vertrauliche Daten und installierten unbemerkt weitere Programme aus der Ferne.

Der aktuelle Fall zeigt, wie angreifbar vernetzte Geräte sind und wie schnell persönliche Daten in die falschen Hände geraten können. Dieser kostenlose PDF-Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Sie Ihr Android-System sofort besser gegen Hacker und Datenmissbrauch absichern können. 5 Schutzmaßnahmen jetzt entdecken

Die Reichweite der Kampagne ist beträchtlich. Daten des Sicherheitsunternehmens TrendAI belegen rund 1.472.554 infizierte Geräte über 206 verschiedene Modellreihen hinweg, verteilt auf mehr als 200 Länder. Die höchsten Infektionszahlen verzeichneten Malaysia, Brasilien mit 150.080 betroffenen Geräten, der Irak und Mexiko.

Auch in Deutschland, den USA, Großbritannien, Australien und Kanada registrierten Analysten jeweils Zehntausende kompromittierte Geräte online. Das IT-Sicherheitsunternehmen Trend Micro beobachtete aktive Installationen in 170 Ländern, wobei Brasilien hinter Malaysia auf Rang zwei lag, gefolgt von Irak, Mexiko und Taiwan.

Internationale Gegenmaßnahmen und Empfehlungen

Anfang November 2026 ging eine internationale Taskforce gegen die Bedrohung vor. Neben Google waren die japanische Nationalpolizei sowie die Sicherheitsfirmen Lumen, HUMAN Security, Plume, Synthient und TrendAI an der Zerschlagung der Botnetz-Infrastruktur beteiligt. Google passte seine internen Prüfverfahren an; die koordinierten Abwehrmaßnahmen sollen den Angreifern den Zugriff auf mindestens zehn Millionen weitere infizierte Systeme entziehen.

Wer sich mit der Sicherheit seiner mobilen Endgeräte befasst, sollte regelmäßige System-Aktualisierungen nicht dem Zufall überlassen. Erfahren Sie in diesem gratis Report, wie Sie durch die richtigen Einstellungen Sicherheitslücken schließen und Malware dauerhaft verhindern. Kostenlosen Sicherheits-Ratgeber herunterladen

Das Analyseunternehmen Synthient wies die Hintertür unter anderem auf einem Ende 2025 erworbenen MECOOL KM9PRO Max mit der Firmware C1.0.8_20250325 nach, betonte jedoch, dass dies keinen Rückschluss auf alle Geräte dieser Firmware-Version zulasse.

Insgesamt erfasste das Unternehmen 182 Modellkennungen, darunter Bezeichnungen wie KM9PRO_MAX, KM2PLUS, KM7PLUS, KT1, IPx1, IPx3, Q96MAX und TX3MINI. Auch hier bedeute die Modellbezeichnung nicht zwingend eine Infektion.

Ein Analyst des IT-Sicherheitsunternehmens ESET warnte vor den erheblichen Gefahren, die von solchen Streaming-Boxen ausgehen, wenn sie unkontrolliert in Unternehmensnetzwerken betrieben werden.

Da eine reine Blockade von Befehlsservern die Malware nicht vom Gerät entfernt, sei das Aufspielen einer sauberen Firmware oder die dauerhafte Trennung vom Internet erforderlich. Die brasilianische Regulierungsbehörde Anatel warnte Verbraucher vor dem Erwerb und Betrieb von Geräten ohne offizielle Zulassung.