--- title: "Google zerschlaegt XCPE-Botnet mit 1,3 Mio. TV-Boxen: Malware ab Werk in Firmware integriert" description: "Google und Partner haben das XCPE-Botnet aus ueber 1,3 Mio. Android-TV-Boxen neutralisiert, in die der Hersteller Videostrong laut Angaben ab Werk eine Backdoor eingebaut haben soll." date: 2026-11-04T03:02:00.248Z lang: de url: https://xab.info/de/posts/google-zerschlaegt-xcpe-tv-boxen-botnet tags: [google, botnet, android-tv, cybersecurity, videostrong, tv-boxes] author: "Alexander Buran" publisher: "XAB.info" --- # Google zerschlaegt XCPE-Botnet mit 1,3 Mio. TV-Boxen: Malware ab Werk in Firmware integriert ![person haelt eine fernbedienung in der hand vor dem hintergrund eines fernsehschirms](https://xab.info/media/2026/11/04/google-likvidirovala-botnet-xcpe-tv-pristavok/google-likvidirovala-botnet-xcpe-tv-pristavok-1.webp) ## Kernpunkte - Google hat mit Partnerunterstuetzung das XCPE-Botnet mit ueber 1,3 Mio. Android-TV-Boxen neutralisiert - Malware wurde waehrend der Produktion in die Firmware integriert und nicht ueber Softwareschwaechen eingeschleust - Google bringt das Botnet mit hoher Wahrscheinlichkeit mit dem chinesischen Hersteller Videostrong Technology in Verbindung - Google entzog Videostrong die Android TV-Lizenz und verbot die Zertifizierung von Android-Produkten - Infizierte Geraete wurden fuer Proxynetze, Werbebetrug und den Download weiterer Malware genutzt Google hat zusammen mit mehreren Cybersicherheits-Partnern und Strafverfolgungsbehoerden ein Botnet namens XCPE neutralisiert, das ueber 1,3 Millionen Android-basierte TV-Boxen umfasste. Nach Einschaetzung des Suchmaschinenriesen wurden die Geraete nicht durch Softwareluecken infiziert, sondern direkt in der Produktionsphase: Der Hersteller baute absichtlich einen versteckten Fernzugriffskanal – eine Backdoor – in die Firmware ein und verkaufte spaeter die Moeglichkeit zur Steuerung der kompromittierten Geraete an Cyberkriminelle. Google bringt die Botnet-Infrastruktur mit hoher Wahrscheinlichkeit mit dem chinesischen Elektronikhersteller Videostrong Technology in Verbindung, dem das Unternehmen vorwirft, jahrelang schaedlichen Code in Geraeten verschiedener Marken und Modelle verbreitet zu haben. ### Firmware-Backdoor und modulare Architektur Ein Hauptmerkmal von XCPE war die direkte Implementierung in die Geraetefirmware ab Werk, wodurch das klassische Szenario einer Infektion ueber eine Schwachstellenentdeckung ausgeschlossen wurde. Die Hauptkomponente der Backdoor arbeitete mit Android-Systemrechten, was den Operatoren die volle Kontrolle ueber das Geraet gab. Die Architektur der Malware war modular aufgebaut: Die Backdoor-Funktionen waren von Modulen getrennt, die darauf ausgelegt waren, Einnahmen im Interesse von Drittpartnern zu generieren. Nach dem Einschalten der infizierten TV-Box nahm die XCPE-Komponente Kontakt zu einem Befehlsserver auf und erhielt Verbindungsdaten sowie Zugangsdaten fuer einen MQTT-Nachrichtenbroker, ueber den die Operatoren die Geraete fernsteuerten und schaedliche Aktionen ausfuehrten. Um der Erkennung zu entgehen, aenderten die Angreifer kontinuierlich die Programmstruktur: Ende 2024 wechselte Videostrong laut Google zu einem separaten Loader zum Ausfuehren von Modulen und trennte diese Funktion im August in kompaktere, spezialisierte Dropper ab, die als Android-System-Apps getarnt waren. ### Wofuer die infizierten Geraete genutzt wurden Die kompromittierten Set-Top-Boxen wurden fuer verschiedene Arten cyberkrimineller Aktivitaeten eingesetzt. Einige Module waren mit Residential-Proxy-Diensten verknuepft – Linkfog, AppSalt/Honeygain, GaGaNode, NetNut und Traffmonetizer –, die Internetverkehr Dritter ohne Wissen und Zustimmung der Eigentuemer ueber die infizierten Geraete umleiteten. Andere Module wurden fuer Werbebetrugsschemas verwendet: Es wurden Impressionen generiert, versteckte Webseiten geladen und Klicks auf Anzeigen simuliert. Ueber die Backdoor wurde zusaetzliche Malware – Moyu, Spirit und Bird – heruntergeladen, um teurere Payloads zu liefern und auszufuehren. Somit fungierte die Backdoor faktisch als Plattform, auf der kriminelle Gruppierungen Dritter ihre eigenen Module platzierten. ### Wie das Botnet mit Videostrong verknuepft wurde Die Verbindung zwischen der XCPE-Backdoor und Videostrong wurde von dem Unternehmen Synthient hergestellt. Ihren Angaben zufolge wurde Ende 2025 Malware auf einer neu erworbenen Mecool KM9PRO Max Android TV-Box entdeckt. Spezialisten fanden ein oeffentlich zugaengliches Verzeichnis mit Backdoors, das einen Ordner mit einer PDF-Datei enthielt, als deren Autor Videostrongs F&E-Leiter Owen Cao genannt wurde. Dies ermoeglichte die Zuordnung der Infrastruktur zu einem spezifischen Hersteller. An der Neutralisierungsoperation waren neben Google auch die japanische Natioanle Polizeiagentur sowie die Unternehmen Lumen, Human Security, Plume, Synthient und TrendAI beteiligt, die gemeinsam die schaedliche Infrastruktur analysierten und deren Betrieb stoppten. ### Googles Reaktion und Konsequenzen fuer den Hersteller Als Reaktion auf den festgestellten Verstoss brach Google die Beziehungen zu Videostrong ab: Das Unternehmen entzog dem Hersteller die Lizenz zur Veroeffentlichung von Android TV-Geraeten mit vorinstallierten Google-Apps und -Diensten und untersagte dem Unternehmen sowie seinen verbundenen Strukturen die Herstellung zertifizierter Android-Geraete oder die Lieferung von Software fuer zertifizierte Hersteller. Laut Google verbreitete Videostrong jahrelang Malware und verbesserte kontinuierlich die Funktionalitaet der Backdoor, um der Entdeckung zu entgehen und den Anforderungen verschiedener krimineller Gruppen gerecht zu werden. ### Risiko fuer Anwender Das Problem betrifft Nutzer weltweit: Google hat mehrere Regionen genannt, in denen infizierte Geraete vorhanden sind. Videostrong-Geraete werden auf beliebuebten Marktpluepzen verkauft – sowohl mit Lieferung aus China als auch ueber lokaele Haendler. Das bedeutet, dass das Risiko des Kaufs einer bereits kompromittierten TV-Box bestehen bleibt, auch wenn das Botnet offiziell neutralisiert wurde, da zuvor hergestellte Geraete weiterhin als Teil der schaedlichen Infrastruktur funktionieren koennen, bis sie von den Operatoren vollstaendig abgeschaltet werden. ## Faktencheck und Quellen - [Google накрыла ботнет из миллионов ТВ-приставок — заражённые с завода устройства продаются и в России window-new](https://3dnews.ru/1150773/google-nakrila-botnet-iz-millionov-tvpristavok-zaragyonnie-s-zavoda-ustroystva-prodayutsya-i-v-rossii) - Primaerquelle: Botnet-Volumen (1,3+ Mio.), Firmware-Integrationsmechanismus, modulare Architektur, MQTT, Proxydienste, Werbebetrug, Googles Reaktion, Beteiligung von Synthient und Strafverfolgungsbehoerden. - [Google накрыла ботнет из миллионов ТВ-приставок](https://www.kv.by/news/1072590-google-nakryla-botnet-iz-millionov-tv-pristavok) - Uebereinstimmung bei Schluesselfakten: 1,3 Mio. Boxen, Backdoor, Verbindung zu Videostrong, Lizenzentzug, Teilnahme an der Operation. Keine Abweichungen von der Primaerquelle festgestellt. ## Häufige Fragen ### Was ist das XCPE-Botnet und wie viele Geraete umfasste es? XCPE ist ein Botnet aus ueber 1,3 Millionen Android-TV-Boxen. Laut Google war die Malware waehrend der Produktion in die Geraetefirmware eingebaut worden, was den Operatoren die Fernsteuerung der Set-Top-Boxen ermoeglichte. ### Wie wurden die Geraete infiziert? Nicht ueber Softwareluecken, sondern ueber eine Backdoor, die ab Werk in der Firmware integriert war. Die Hauptkomponente arbeitete mit Android-Systemrechten, und Befehle wurden ueber einen MQTT-Nachrichtenbroker uebertragen. ### Wofuer wurden die infizierten Set-Top-Boxen verwendet? Sie wurden fuer Residential-Proxynetzwerke, Werbebetrug (Generierung von Impressionen und Simulation von Klicks) sowie zum Download zusaetzlicher Malware wie Moyu, Spirit und Bird genutzt. ### Welche Massnahmen ergriff Google gegen Videostrong? Google entzog dem Unternehmen die Lizenz zur Veroeffentlichung von Android TV-Geraeten mit vorinstallierten Google-Diensten und verbot ihm und verbundenen Strukturen die Herstellung zertifizierter Android-Geraete oder die Softwarelieferung.