Google und mehrere Sicherheitsfirmen haben ein Botnetz aus mehr als 1,3 Millionen Android-TV-Boxen abgeschaltet. Das Besondere: Die Schadsoftware kam nicht per Download auf die Geräte, sondern laut Google ab Werk vom Hersteller selbst. Auch in Deutschland stehen zehntausende betroffene Boxen, und die Hintertür bleibt auf ihnen, obwohl die Server weg sind.
Was passiert ist
Am 2. November hat die Google Threat Intelligence Group (GTIG) ihren Bericht zum XCPE-Botnetz veröffentlicht. Bereits in der Vorwoche hatten Google und Partner die Steuerungsinfrastruktur des Netzes stillgelegt. Beteiligt waren laut Google die japanische Nationale Polizeibehörde sowie Lumen, HUMAN Security, Plume, Synthient und TrendAI, die Enterprise-Sparte von Trend Micro.
Google schreibt die Operation „mit hoher Sicherheit“ dem Hersteller Videostrong Technology Co. aus Shenzhen zu. Das Unternehmen baut als Auftragsfertiger Android-Geräte wie TV-Boxen und Projektoren für viele White-Label-Marken. Nach Googles Darstellung hat Videostrong die Hintertür absichtlich in die Firmware eingebaut und Zugriff auf die Geräte an kriminelle Partner verkauft. Ein abtrünniger Mitarbeiter oder ein Entwicklungsfehler sei auszuschließen.
Was belegt ist
- Umfang: TrendAI hat zwischen dem 3. Juni und dem 1. Oktober 2026 nach eigener Analyse 1.472.554 infizierte Geräte in 206 Modellen gezählt, verteilt auf mehr als 170 Länder. Die Partner nennen gemeinsam die vorsichtigere Zahl von mehr als 1,3 Millionen.
- Deutschland: Die meisten Geräte standen in Malaysia, Brasilien, Irak, Mexiko und Taiwan. Für die USA, Deutschland, Großbritannien, Australien und Kanada nennt TrendAI jeweils etwa 26.000 bis 42.000 Geräte. Als Beispiel für einen betroffenen Anbieter in Deutschland führt TrendAI Vodafone-Anschlüsse auf.
- Zweck: Die Boxen leiteten fremden Datenverkehr über die Internetanschlüsse ihrer Besitzer, sie dienten also als sogenannte Residential Proxies. Dazu kamen Module für Werbebetrug, die gefälschte Anzeigenaufrufe erzeugten. TrendAI zählte im Messzeitraum 3,85 Millionen verschiedene private IP-Adressen, über die der Verkehr lief, im Schnitt rund 182.000 pro Tag.
- Vollzugriff: Laut Google konnten die Betreiber Apps unbemerkt installieren, Shell-Befehle mit Systemrechten ausführen, Screenshots aufnehmen, Tastatureingaben einschleusen und Konto- sowie Gerätedaten auslesen. Google hat nach eigenen Angaben beobachtet, dass Videostrong-Betreiber diese Funktionen auch tatsächlich nutzten, bis hin zu Reverse Shells.
- Konsequenzen: Google hat Server und Domains auf rechtlichem Weg abschalten lassen und Videostrong samt künftiger Tochterfirmen dauerhaft vom Bau zertifizierter Android-Geräte ausgeschlossen.
So funktioniert die Hintertür
Der Kern ist eine System-App namens x.cpe, in manchen Builds com.oemservice. Sie liegt in der Firmware und läuft mit den Rechten des Systems. Löscht ein Nutzer sie, installiert sie sich beim nächsten Neustart aus der /oem/-Partition neu. Über das Protokoll MQTT hielt sie eine Dauerverbindung zum Steuerserver der Betreiber und nahm dort Befehle entgegen.
Um Googles Prüfungen für zertifizierte Geräte zu umgehen, lud die Firmware den Schadcode erst nach dem ersten Start nach. Bevor sie zusätzliche Apps installierte, schaltete sie Google Play Protect ab. Die eigentlichen Geldbringer stammten von Drittanbietern: Proxy-SDKs wie Honeygain/AppSalt, Traffmonetizer, NetNut oder EarnFM, dazu Werbebetrugs-Module. Teils liefen laut Google bis zu drei Proxy-Dienste gleichzeitig auf einer Box. Die Pakete lagen nach Googles Angaben größtenteils als Releases auf GitHub-Konten der Betreiber.
Das Sicherheitsunternehmen Synthient hat den Fall an einer MECOOL KM9PRO Max aufgerollt, die es Ende 2025 gekauft hatte. Die Spur zu Videostrong führte unter anderem über ein offen zugängliches Verzeichnis auf einem Steuerserver, in dem ein vom Forschungs- und Entwicklungsleiter von Videostrong unterzeichnetes Dokument lag. Außerdem zeigte die Domain des Herstellers auf dieselbe IP-Adresse wie das Admin-Panel der Betreiber. Neben MECOOL nennt Synthient den Shop YOKATV als Vertriebsweg.
Der harte Punkt ist: Die Server sind weg, die Hintertür nicht
Die Abschaltung kappt die Verbindung zu den Betreibern, sie repariert aber kein einziges Gerät. TrendAI schreibt deutlich, dass Besitzer das Implantat nicht selbst entfernen können, weil es als System-App mit dem Schlüssel des Herstellers signiert ist. Eine Bereinigung brauche Eingriffe des Herstellers, Schutz durch die Plattform oder den Austausch des Geräts. Synthient geht weiter und rät, die Boxen zu entsorgen. Wie BleepingComputer zusammenfasst, bleibt sonst nur saubere Firmware oder die Trennung vom Netz.
Dazu kommt ein Muster: Laut TrendAI gehört XCPE zum selben Umfeld wie BADBOX 2.0, das im März 2025 zerschlagen wurde. Google vermutet, dass Videostrong die Malware Ende 2024 gerade wegen früherer Maßnahmen gegen BADBOX umgebaut hat, um unentdeckt zu bleiben. TrendAI warnt, dass solche Betreiber schon früher auf neuer Infrastruktur weitergemacht haben. Und über die Partner-Module hängen laut Google mindestens zehn Millionen weitere kompromittierte Geräte an denselben Steuerservern, darunter Set-Top-Boxen, Karaoke-Maschinen und Telemedizin-Geräte. Nicht alle davon laufen mit Android.
Für Besitzer ist das Risiko konkret: Wer eine solche Box betreibt, verleiht seinen Anschluss an Fremde. Taucht diese IP-Adresse bei Betrug, Kontoübernahmen oder Angriffen auf, fällt der Verdacht zuerst auf den Anschlussinhaber. Und eine Box mit Systemrechten im Heim- oder Firmennetz ist ein Brückenkopf für alles, was die Betreiber nachladen.
Was Besitzer jetzt tun sollten
- Box prüfen: Billige, nicht zertifizierte Android-TV-Boxen, besonders der Marken MECOOL und YOKATV, sollten vom Netz. Synthient veröffentlicht die betroffenen Modellnamen und Indikatoren in einem öffentlichen GitHub-Repository, warnt aber, dass ein Modellname allein noch keine Infektion belegt.
- Zertifizierung beachten: Google verweist für sichere Geräte auf die Partnerliste auf seiner Android-TV-Website. Geräte mit offiziellem Google-TV- oder Android-TV-Logo eines bekannten Herstellers sind die sicherere Wahl.
- Netz trennen: Wer solche Geräte nicht ersetzen will, sollte sie zumindest in ein eigenes Gastnetz verbannen, getrennt von PCs, NAS und Smart-Home-Zentrale. Nach dem Entfernen empfiehlt Synthient, das WLAN-Passwort zu ändern.
- Finger weg von „Bandbreite teilen“: Google rät ausdrücklich zur Vorsicht bei Apps, die Geld für ungenutzte Bandbreite versprechen. Genau über solche Dienste wachsen die Proxy-Netze.
Einordnung
Der Fall ist mehr als die nächste Botnetz-Meldung. Hier soll nicht ein Angreifer Geräte gekapert haben, sondern der Hersteller selbst seine Kunden infiziert haben. Google spricht von einem „inakzeptablen Vertrauensbruch“ und sieht auch Händler und Marktplätze in der Pflicht, solche Hersteller auszulisten. Solange Billig-Boxen ohne geprüfte Firmware massenhaft über Onlineshops laufen, bleibt das Problem bestehen. Wer eine Billig-Box mit „allen Apps“ kauft, bezahlt im Zweifel zusätzlich mit seinem Internetanschluss.
Quellen
📂
Kategorie
News
Aktuelle Meldungen aus der Tech-Welt – kompakt eingeordnet, ohne Clickbait-Überschriften.
