Android-TV-botnet in 1,3 Millionen Boxen zerschlagen
Das als XCPE bekannte Android-TV-botnet band nach Angaben der Google Threat Intelligence Group (GTIG) mehr als 1,3 Millionen set-top boxes über schädliche Software ein, die mit den Geräten ausgeliefert wurde. Am 2. November 2026 teilte Google mit, mit Partnern aus der Branche zusammengearbeitet und rechtliche Schritte gegen die Domains und Server eingeleitet zu haben, über die das Netzwerk gesteuert wurde. Als botnet wird eine Gruppe kompromittierter Geräte bezeichnet, die ohne Wissen ihrer Eigentümer aus der Ferne betrieben werden.
GTIG und andere Fachleute aus der Branche kamen zu dem Schluss, dass der chinesische Hersteller von TV boxes Videostrong Technology Co. für die Einbindung der malware verantwortlich war. Google erklärte, die Beziehungen zu dem Unternehmen beendet zu haben. XCPE ist nach einer zentralen Komponente des schädlichen Codes benannt. Obwohl TV boxes den Großteil der Infektionen ausmachten, fanden die Ermittler dieselbe malware auch in Android-basierten Geräten für die Telemedizin, Karaokemaschinen und digitalen Beschilderungssystemen. Dabei handelt es sich um Produkte aus dem Internet of Things (IoT), also um Alltagsgeräte, die mit dem Internet verbunden sind.
Die malware installierte Software, durch die die Internetadresse des jeweiligen Haushalts über mehrere residential proxy-Dienste verfügbar wurde. Ein residential proxy leitet die Webaktivitäten einer anderen Person über einen gewöhnlichen privaten Internetanschluss und verbirgt dadurch den tatsächlichen Standort des Kunden, während der Datenverkehr so erscheint, als stamme er aus dem betroffenen Haushalt. Solche Dienste können für die Übernahme von Konten, Werbebetrug und das großflächige Sammeln von Online-Inhalten für Projekte im Bereich künstliche Intelligenz genutzt werden. Laut GTIG verdiente Videostrong an dem verborgenen Zugang, indem das Unternehmen ihn an kriminelle Partner verkaufte und zusätzliche malware-Module dieser Partner an infizierte Geräte auslieferte.
Google verlangt von Herstellern von Android-Geräten, Kompatibilitäts- und Sicherheitstests zu bestehen, die schädliche Produkte verhindern sollen. Laut GTIG fand Videostrong dennoch eine Möglichkeit, seine Software unmittelbar nach dem ersten Start eines Geräts zu installieren. Google erklärte, diese Schwachstelle inzwischen behoben zu haben. Die Eigentümer hätten nicht wissentlich zugestimmt, dass ihre Geräte oder Verbindungen anderen Betreibern als Auslieferungskanal zur Verfügung gestellt werden, so GTIG.
Mehrere software development kits von residential proxy-Anbietern – Codepakete, mit denen einer Anwendung oder einem Gerät ein Dienst hinzugefügt wird – wurden regelmäßig von mit XCPE infizierten Systemen heruntergeladen. GTIG nannte AppSalt, auch bekannt als Honeygain, das dem in Vilnius ansässigen Unternehmen Oxylabs gehört. Oxylabs wurde im Oktober 2026 unter dem Namen Source neu aufgestellt, nachdem das Unternehmen 130 Millionen US-Dollar von der Private-Equity-Gesellschaft Warburg Pincus erhalten hatte. Berichten zufolge wurde das Unternehmen bei dieser Transaktion mit 3,6 Milliarden US-Dollar bewertet. Oxylabs reagierte nicht auf eine Bitte von KrebsOnSecurity um Stellungnahme. Zu den weiteren von GTIG identifizierten Diensten gehörten EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb und GaGaNode.
Auch NetNut, das von dem börsennotierten israelischen Unternehmen Alarum Technologies betrieben wird, wurde mit XCPE in Verbindung gebracht. Im Juli 2026 beschlagnahmten das FBI und Partner aus der Branche Hunderte mit NetNut verbundene Domains. Sie erklärten, NetNut habe ein separates botnet namens Popa betrieben, das ebenfalls TV boxes in residential proxy verwandelte. Laut Synthient, einem Unternehmen, das proxy-Anbieter beobachtet, verbreitete die malware von Videostrong außerdem Software für den proxy-Dienst Grass. Frühere Untersuchungen von Censys hatten ergeben, dass Grass-Software zusammen mit dem TV-Streaming-Gerät Superbox ausgeliefert wurde. Grass bestritt jedoch jede Verbindung zu dem Hersteller der Box.
Synthient hatte zuvor Kimwolf untersucht, ein weiteres botnet, das innerhalb kurzer Zeit Millionen von Android-set-top boxes infizierte und Angriffe vom Typ distributed denial-of-service attack startete, die das Unternehmen als rekordverdächtig bezeichnete. Ein distributed denial-of-service attack, kurz DDoS attack, überlastet einen Online-Dienst, indem sehr viele Geräte gleichzeitig Datenverkehr an ihn senden. Synthient stellte fest, dass Kimwolf eine weitverbreitete Schwachstelle in residential proxy-Diensten ausnutzte, um andere Android-Geräte innerhalb der lokalen Netzwerke ahnungsloser Eigentümer von TV boxes zu erreichen.
Diese Untersuchung veranlasste Dutzende proxy-Anbieter dazu, ihre Netzwerke zu patchen. Dadurch zerfiel Kimwolf in kleinere Gruppen, deren wiederholte DDoS attacks für Netzwerkbetreiber leichter zu bewältigen waren. Die Untersuchung erregte außerdem die Aufmerksamkeit der Motion Picture Association, die große Hollywood-Studios vertritt. Der Verband arbeitete mit Synthient zusammen, um beliebte Android TV boxes zu kaufen und zu untersuchen, darunter Produkte, die von Kimwolf und anderen botnet-Netzwerken aus dem Internet of Things (IoT) betroffen waren.
In einer zeitgleich mit der Zerschlagung von XCPE veröffentlichten Untersuchung prüfte Synthient eine beliebte, bereits vorinfizierte MECOOL-Box, die von dem börsennotierten chinesischen Unternehmen Skyworth Technology verkauft wird. Synthient kam zu dem Schluss, dass das Produkt die malware von Videostrong enthielt und AppSalt/Honeygain sowie weitere proxy-Komponenten installierte. Laut Synthient stieg die Beliebtheit von MECOOL stark an, nachdem das Produkt 2023 auf dem in der Untersuchung als Linux Tech Tips bezeichneten YouTube-Kanal vorgestellt worden war, der fast 17 Millionen Abonnenten hat. Der Kanal teilte Synthient mit, das Video später aktualisiert zu haben, um das Produkt ausdrücklich als Betrug zu bezeichnen, und die zugehörigen Affiliate-Links entfernt zu haben.
Superbox und vergleichbare Android-TV-Produkte hatten auf ähnliche Weise Kunden durch Influencer auf TikTok und anderen sozialen Plattformen gewonnen. Diese warben damit, gegen eine einmalige Zahlung Zugang zu Hunderten illegal angebotenen Pay-TV-Diensten zu ermöglichen. Ein solches Verkaufsversprechen ist für Käufer ein Warnzeichen, da sich das verborgene Verhalten des Geräts möglicherweise nur schwer anhand seiner Streaming-Funktionen erkennen lässt.
GTIG schätzt, dass die Maßnahmen gegen XCPE den Zugriff auf mindestens 10 Millionen weitere kompromittierte Geräte unterbinden könnten. Begründet wird dies damit, dass die mit Videostrong verbundenen Partner für proxy-Dienste und Werbebetrug ihre Module jeweils auch über andere Wege als XCPE verbreiten. Synthient bezeichnete die bestätigte Gesamtzahl von 1,3 Millionen Geräten als äußerst konservative Schätzung und erklärte, das tatsächliche Ausmaß sei wahrscheinlich wesentlich größer. Das Unternehmen nannte die Operation die größte ihm bekannte Maßnahme gegen TV boxes mit backdoor. Eine backdoor ist ein verborgener Zugang, über den eine andere Partei ein Gerät steuern oder ohne die üblichen Berechtigungen Software installieren kann.
Unternehmen, die entscheiden müssen, ob vernetzte Geräte in Arbeitsplatznetzwerken zugelassen werden sollen, können AEU-I für sicherheitsorientierte IT, Infrastruktur und Beratung nutzen. Für Leser, die weitere technische Einzelheiten suchen, umfassen die veröffentlichten Materialien ein white paper von Plume Security Labs, einen write-up von Black Lotus Labs, eine Analyse von TrendAI und die nach Modellnummer geordnete Liste betroffener Geräte von Synthient.