XCPE-Botnetz zerschlagen: Malware steckte in 1,3 Millionen Android-TV-Boxen

Ein internationales Bündnis aus Technologiekonzernen und Sicherheitsbehörden hat das sogenannte XCPE-Botnetz zerschlagen. Nach Berichten vom 2. November 2026 umfasste das Netzwerk mehr als 1,3 Millionen Android-TV-Set-Top-Boxen, deren Schadsoftware bereits ab Werk direkt in die Firmware integriert war.

An der koordinierten Aktion beteiligten sich neben Google unter anderem die japanische Polizeibehörde NPA sowie die Sicherheitsunternehmen Lumen, HUMAN Security, Plume, Synthient und TrendAI.

Ende Oktober 2026 schalteten Google und seine Partner zentrale Steuerungs-Server und Domains juristisch ab, darunter anyevonline[.]com sowie den MQTT-Broker mqtt.szbboys[.]com. Durch das Kappen der Steuerungs-Domains von über einem Dutzend Malware-Familien schnitt Google nach eigenen Angaben mindestens 10 Millionen weitere kompromittierte Geräte vom Zugriff der Kriminellen ab.

Ursprung in manipulierter Hersteller-Firmware

Die Google Threat Intelligence Group schreibt die Operation mit hoher Zuverlässigkeit dem Unternehmen Videostrong Technology Co. mit Sitz im chinesischen Shenzhen zu. Der Hersteller verkaufte Zugänge zu den infizierten Systemen an kriminelle Vertriebspartner weiter.

Der aktuelle Vorfall zeigt, wie massiv Android-basierte Systeme weltweit von Cyberkriminellen für Datenmissbrauch und Spionage attackiert werden. Dieser kostenlose Ratgeber erklärt Ihnen in 5 einfachen Schritten, wie Sie Ihre Geräte wirksam vor Hackern und Viren schützen. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Laut Berichten baute Videostrong die Hintertür x.cpe, teils auch als com.oemservice bezeichnet, vorsätzlich in die Firmware ein. Das Paket agiert mit den weitreichenden Rechten der Kennung android.uid.system und deaktiviert den Sicherheitsdienst Google Play Protect.

Die Hintertür erweist sich auf betroffenen Endgeräten als besonders hartnäckig: Nach einem Löschversuch installiert sie sich bei einem Neustart automatisch aus der OEM-Partition neu. Da die System-App mit einem kryptografischen Schlüssel des Herstellers signiert ist, bleibt x.cpe auf bereits verkauften Geräten aktiv.

Eine Bereinigung ist demnach ausschließlich durch den Hersteller selbst, ergänzende Plattformschutzmaßnahmen oder den vollständigen Austausch des Geräts möglich. Ab Ende 2024 setzte das Unternehmen den Loader com.abc.nexus ein, ehe seit August 2026 kleinere Dropper verwendet wurden.

Ausmaß der weltweiten Infektionen

Die Betreiber der Hintertür konnten Anwendungen unbemerkt installieren, Shell-Befehle mit vollen Systemrechten ausführen, Screenshots erstellen, Tastatureingaben simulieren sowie Zugangsdaten abgreifen.

Kriminelle Partnerzweige nutzten die Module zur Bereitstellung von Residential-Proxys wie Linkfog, AppSalt, NetNut sowie Traffmonetizer und Honeygain. Zudem dienten die Geräte dem Klickbetrug über Dienste wie CBOXTV oder HiddenView sowie der Verbreitung weiterer Schadfamilien namens Moyu, Spirit und Bird.

Auswertungen von TrendAI belegen das globale Ausmaß: Vom 03.06.2026 bis 01.10.2026 erfasste das Sicherheitsunternehmen insgesamt 1.472.554 infizierte Geräte über 206 Modelle hinweg in mehr als 170 Ländern.

Wer sich mit der Sicherheit seiner vernetzten Hardware befasst, sollte auch die Risiken veralteter Software-Stände nicht unterschätzen. Erfahren Sie in diesem kostenlosen Report, wie Sie durch gezielte Updates Sicherheitslücken schließen und Ihre privaten Daten vor Malware bewahren. Kostenlosen Sicherheits-Ratgeber herunterladen

Für Deutschland, die USA, Kanada, Großbritannien und Australien registrierten die Analysten jeweils etwa 26.000 bis 42.000 Geräte, die unter anderem an Anschlüssen von Vodafone hingen; in den USA belief sich die Zahl im Zeitraum von Juni bis Oktober auf knapp 44.000 Geräte.

Demnach wurden insgesamt 3,85 Millionen verschiedene private IP-Adressen gezählt, was einem Durchschnitt von rund 182.000 Adressen pro Tag entspricht.

Neben klassischen Fernsehboxen betrifft die Kompromittierung auch digitale Anzeigetafeln, Karaoke-Anlagen und Telemedizin-Hardware in über 200 Ländern. Die höchste Dichte an Infektionen stellte TrendAI in Malaysia, Brasilien, dem Irak, Mexiko und Taiwan fest.

Konsequenzen für Hersteller und Verbraucher

Google reagierte mit harten Sanktionen gegen den Verursacher. Der Konzern schloss Videostrong sowie künftige Tochter- und Partnerunternehmen dauerhaft davon aus, zertifizierte Android-Geräte herzustellen oder Software an zertifizierte Hersteller zu liefern. Zugleich passte Google seine internen Prüfprozesse für Hardwarepartner an.

Das IT-Sicherheitsunternehmen Synthient publizierte eine Übersicht mit 182 betroffenen Modellnamen. Zwar belege die bloße Modellbezeichnung noch keine Infektion, Synthient rät Besitzern entsprechender Boxen jedoch zur Entsorgung der Hardware, um Sicherheitsrisiken im Heimnetzwerk dauerhaft auszuschließen.