XCPE-Botnetz: Google zerschlägt Hintertür auf 1,3 Millionen Geräten

Google hat am 2. November 2026 die Zerschlagung des Botnetzes XCPE bekannt gegeben. Das Netzwerk basierte auf einer ab Werk vorinstallierten Hintertür auf mehr als 1,3 Millionen Geräten, darunter vor allem Android-TV-Boxen, und ermöglichte Cyberkriminellen umfassende Fernzugriffe. Die entsprechenden Störungsmaßnahmen wurden in der Vorwoche abgeschlossen, wie aus einem Bericht vom 5. November 2026 hervorgeht.

Für die Abschaltung der Kontrollserver und -domains arbeitete Google mit der japanischen Nationalpolizei sowie den Sicherheitsunternehmen Lumen, HUMAN Security, Plume, Synthient und TrendAI zusammen.

Tiefe Verankerung in der System-Firmware

Die Schadsoftware x.cpe, die teilweise unter der Bezeichnung com.oemservice auftrat, lief mit vollen Systemrechten und wurde über das Protokoll MQTT gesteuert. Sie war in der Lage, eigenständig Apps zu installieren, beliebige Befehle auszuführen, Screenshots anzufertigen, Tastatureingaben mitzuschneiden, Remote-Shells zu öffnen und den Sicherheitsdienst Google Play Protect zu deaktivieren.

Da der Schadcode direkt in der Firmware verankert war, installierte er sich nach einem Löschversuch beim Neustart automatisch aus der /oem/-Partition neu. McAfee wies darauf hin, dass selbst ein Zurücksetzen auf die Werkseinstellungen die Hintertür unter Umständen nicht entfernt.

Um Zertifizierungstests vor dem Verkauf zu umgehen, lud das System den eigentlichen Schadcode erst nach dem ersten Gerätestart herunter. Seit August 2026 wurden zudem zusätzliche Anwendungen als System-Apps getarnt, beispielsweise als com.android.system.ntp.

Hersteller als Urheber identifiziert

Die Google Threat Intelligence Group ordnete die Entwicklung und den Betrieb der Hintertür mit hoher Sicherheit dem chinesischen Hersteller Videostrong Technology aus Shenzhen zu. Das Unternehmen hatte die Schadfunktion bereits seit mindestens 2024 in mehreren Gerätemodellen und Handelsmarken integriert. Neben Android-TV-Boxen waren auch Geräte für Telemedizin, Karaoke sowie Digital-Signage-Systeme betroffen.

Wer sich mit der Sicherheit seiner mobilen Endgeräte befasst, sollte die Risiken durch manipulierte Software ernst nehmen. Dieser kostenlose Ratgeber zeigt Ihnen in 5 einfachen Schritten, wie Sie Ihr Android-System wirksam gegen Hacker und Viren absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Videostrong verkaufte den Fernzugriff an kriminelle Partner, sogenannte Affiliates. Diese nutzten die kompromittierten Geräte unter anderem als Residential Proxies, für organisierten Werbebetrug und zum Einschleusen weiterer Schadsoftware-Familien wie Moyu, Spirit und Bird.

Durch den koordinierte Takedown wurde die Command-and-Control-Infrastruktur von mehr als einem Dutzend dieser Affiliate-Malware-Familien gestört. Laut Google soll der Zugriff auf mindestens 10 Millionen weitere kompromittierte Geräte gekappt werden, bei denen es sich nicht um XCPE-Boxen handelt.

Als Konsequenz bannte Google Videostrong Technology sowie künftige Tochtergesellschaften von der Produktion zertifizierter Android-Geräte und untersagte die Softwarelieferung an zertifizierte Anbieter. Zudem verschärfte der Konzern die Firmware-Prüfungen für zertifizierte Android-TV-Geräte.

Globale Verbreitung und Schäden

Die Sicherheitsfirma TrendAI erfasste zwischen dem 3. Juni 2026 und dem 1. Oktober 2026 insgesamt 1.472.554 infizierte Geräte aus 206 Modellen in über 170 Ländern sowie mindestens 3.849.226 Relay-IPs. Zu den Hauptschwerpunkten zählten Malaysia, Brasilien, der Irak, Mexiko und Taiwan.

In Deutschland, den USA, Großbritannien, Australien und Kanada registrierte TrendAI jeweils rund 26.000 bis 42.000 betroffene Einheiten. Synthient entdeckte die Hintertür unter anderem auf einem Ende 2025 erworbenen MECOOL KM9PRO Max und stellte eine Liste von 182 Modellnamen auf GitHub bereit. Ein Treffer in dieser Liste sei jedoch als Warnsignal und nicht als abschließender Beweis zu werten.

Die zunehmende Gefahr durch komplexe Cyber-Angriffe macht deutlich, wie wichtig proaktive Schutzvorkehrungen für die eigenen Daten sind. Ein gratis PDF-Ratgeber enthüllt die Methoden der Kriminellen und erklärt, wie Sie Ihre Geräte in wenigen Minuten gegen unbefugte Zugriffe abschirmen. Kostenlosen Sicherheits-Ratgeber herunterladen

Wie groß die Gefahren durch missbrauchte Proxys sind, illustrieren Zahlen der japanischen Nationalpolizei: Im Jahr 2024 standen 1.918 Fälle unautorisierter Internet-Überweisungen mit Residential Proxies in Verbindung, was einem Schaden von rund 2,89 Milliarden Yen (18,3 Millionen US-Dollar) entsprach.

Das Nationale Institut für Informations- und Kommunikationstechnologie schätzte die Zahl derartiger Geräte in Japan auf mindestens mehrere zehntausend Einheiten.

Laut TrendAI haben Endnutzer keine Möglichkeit, das bösartige Implantat eigenständig zu entfernen. Google erklärte, eine Bereinigung erfordere eine saubere Hersteller-Firmware, wirksame Plattformschutzmechanismen oder den vollständigen Austausch des Geräts.