Google zerschlägt Botnetz aus 1,3 Millionen TV-Boxen, die ab Werk infiziert waren

Google und Partner haben XCPE zerschlagen, ein Botnetz aus mehr als 1,3 Millionen Android-TV-Boxen, und den chinesischen Hersteller gesperrt, der es nach Googles Angaben selbst gebaut hat. Die Schadsoftware kam nicht über eine schlechte App oder einen Hack auf die Geräte: Sie wurde schon in der Fabrik in die Firmware geschrieben. Googles Threat Intelligence Group (GTIG) geht „mit hoher Sicherheit“ davon aus, dass die Hintertür von Videostrong Technology „absichtlich entwickelt, verbreitet und zum Geldverdienen betrieben“ wurde, einem Hersteller, der Boxen für viele Marken fertigt. Der Bericht wurde am 2. November veröffentlicht.

Eine Hintertür ab Werk

Die Hauptkomponenten x.cpe und com.oemservice laufen mit Android-Systemrechten. Darüber konnten die Betreiber unbemerkt Apps installieren, Google Play Protect abschalten, Befehle ausführen, Screenshots machen, Tastendrücke simulieren und Konto- und Gerätedaten sammeln. Wird die Schadsoftware entfernt, installiert sie sich nach einem Neustart aus der /oem/-Partition neu, ein Zurücksetzen auf Werkseinstellungen hilft also nicht. Laut Google steckte der Code in „vielen verschiedenen Gerätemodellen und Marken über mehrere Jahre“, und es handle sich um ein bewusstes Geschäft, nicht um „einen einzelnen abtrünnigen Insider oder ein Versehen bei der Entwicklung“.

Die Sicherheitsfirma Synthient, einer der Partner, kaufte Ende 2025 eine Box MECOOL KM9PRO Max und fand die Schadsoftware bereits vorinstalliert, berichtet BleepingComputer. Auf einem offenen Server des Botnetzes fand sie zudem Dokumente des Forschungs- und Entwicklungsleiters von Videostrong, und die Hintertüren waren mit E-Mail-Adressen des Unternehmens signiert. Die meisten infizierten Geräte sind TV-Boxen, Google fand die Hintertür aber auch in Telemedizin-Geräten, Karaoke-Anlagen und digitalen Werbebildschirmen. Das Botnetz ist weltweit verteilt, eine Aufschlüsselung nach Ländern hat Google nicht veröffentlicht.

Wie die Boxen für Fremde Geld verdienten

Nach Angaben von Google verkaufte Videostrong den Zugang zur Hintertür an kriminelle „Partner“ und spielte deren Module auf die Boxen. Einige machten die Geräte zu Ausgangsknoten von Residential-Proxy-Netzen: Fremder Datenverkehr lief über den Heimanschluss und die IP-Adresse des Besitzers. Google nennt unter anderem Linkfog, AppSalt/Honeygain, GaGaNode, NetNut und Traffmonetizer als beteiligte Proxy-Dienste. Ein SDK setzte laut Google das Häkchen für die Einwilligung selbst, „ohne irgendeine Benutzeroberfläche anzuzeigen“. Andere Module betrieben Werbebetrug, luden versteckte Seiten und registrierten gefälschte Anzeigenaufrufe, wieder andere installierten weitere Hintertüren, die Google zuvor mit der BadBox-Operation in Verbindung gebracht hatte.

Für den Besitzer bedeutet das mehr als eine langsame Box. Seine IP-Adresse taucht in Datenverkehr auf, den er nie verschickt hat, was zu Captchas, gesperrten Konten und Verdacht wegen Aktivitäten führen kann, mit denen er nichts zu tun hat.

Was Google unternommen hat

Gemeinsam mit der japanischen Nationalen Polizeibehörde und den Firmen Lumen, HUMAN Security, Plume, Synthient und TrendAI ging Google juristisch gegen die Domains und Server vor, über die XCPE gesteuert wurde. Ins Visier gerieten auch die Steuerserver von mehr als einem Dutzend Malware-Familien, die über die Hintertür nachgeladen wurden, wodurch mindestens 10 Millionen weitere infizierte Geräte abgeschnitten werden. Google hat die Geschäftsbeziehung mit Videostrong beendet und dem Unternehmen sowie allen künftigen verbundenen Firmen verboten, zertifizierte Android-Geräte zu bauen oder Software an zertifizierte Hersteller zu liefern. Google räumt ein, dass Videostrong die Zertifizierungstests mit Verschleierung umging und Schadcode erst nach dem ersten Start nachlud, und hat nach eigenen Angaben sein Prüfverfahren geändert.

So schützen Sie sich

• TV-Boxen nur von Marken aus Googles Liste der zertifizierten Android-TV-Partner kaufen. Am stärksten gefährdet sind billige No-Name-Boxen von Online-Marktplätzen. Wie dieser Fall zeigt, ist eine Zertifizierung keine volle Garantie, aber immer noch der beste verfügbare Filter.
• Wer eine MECOOL KM9PRO Max oder eine andere verdächtige Box besitzt: Zurücksetzen hilft nicht, die Schadsoftware kommt aus der Systempartition zurück. Trennen Sie die Box jetzt vom Internet und planen Sie den Ersatz durch ein zertifiziertes Modell: Eine Box, die sich nicht säubern lässt, ist nicht sicher weiterzubenutzen.
• Google Play Protect eingeschaltet lassen und Apps nur aus vertrauenswürdigen Stores installieren.
• Finger weg von Apps, die Geld für „ungenutzte Bandbreite“ oder das „Teilen des Internets“ zahlen. Genau so werben Residential-Proxys Geräte an.
• Im Router die Liste der verbundenen Geräte und die Verkehrsstatistik prüfen. Sendet die Box viele Daten, während der Fernseher aus ist, ist das ein Warnsignal. Unser Ratgeber erklärt, wie Sie prüfen, ob eine TV-Box für jemand anderen arbeitet.

Es ist nicht der erste Fall dieser Art. Im Sommer berichteten wir über 120.000 Android-TV-Boxen, die den Heimanschluss ihrer Besitzer vermieteten, und über die Zerschlagung des Proxy-Botnetzes NetNut. XCPE ist größer, und diesmal zeigt Google auf den Hersteller selbst.