Google und Partner unterbrachen Berichten zufolge die Steuerungsinfrastruktur des XCPE-Botnetzes, das vor allem Android-TV-Boxen betraf. Der Eingriff kappte die Verbindung zu den Steuerungsdomains. Eine Entfernung der Schadsoftware aus der Firmware wäre davon ein eigener Schritt.
Was die Störung bewirkte
Ein Botnetz ist ein Verbund infizierter Geräte, die aus der Ferne gesteuert werden. Bei XCPE, auch X.CPE genannt, saß ein Backdoor-Implantat in der Firmware. Die Angreifer nutzten infizierte Geräte laut den Berichten unter anderem für Wohnnetzwerk-Proxys, Anzeigenbetrug, Datenabfluss und weitere Schadsoftware.
An der Störung waren neben Google die japanische Polizei und Cybersicherheitsfirmen beteiligt. Charley Snyder von Googles Threat Intelligence Group sagte, das Trennen der Domains habe die Schadsoftware praktisch wirkungslos gemacht. Google brachte Videostrong Technology Co. mit der Kampagne in Verbindung. Berichten zufolge beendete Google die Zusammenarbeit mit dem Unternehmen und untersagte ihm, Geräte mit vorinstallierten Google-Apps herzustellen.
TrendAI zählte Geräte in 206 Modellen
TrendAI zählte zwischen Juni und Oktober 2026 nach eigenen Erkenntnissen 1.472.554 infizierte Geräte in 206 Modellen. Diese zeitlich eingegrenzte Zählung ergänzt die in Berichten genannte Gesamtzahl von mehr als 1,3 Millionen betroffenen Geräten; die meisten davon waren Android-TV-Boxen. Auch andere Android-basierte IoT-Geräte waren betroffen, darunter Telemedizin-Geräte, Karaoke-Anlagen und digitale Werbedisplays.
Was Play Protect für Besitzer aussagt
Google empfahl laut Bericht, den Schutz durch Play Protect zu prüfen und TV-Boxen von renommierten Herstellern zu kaufen. TrendAI zufolge lief das Implantat als System-App und schaltete Play Protect aus; Besitzer konnten es nicht selbst entfernen. Ein eingeschaltetes Play Protect ist deshalb für sich genommen kein Nachweis, dass ein betroffenes Gerät bereinigt wurde.
