Google meldete, dass es Ende Oktober 2026 rechtlich gegen die Steuerinfrastruktur des x.cpe-Botnetzes vorging. Betroffen waren nach Googles Angaben mehr als 1,3 Millionen Android-Geräte, überwiegend TV-Boxen. Der Eingriff richtete sich gegen die Serverinfrastruktur; die Schadsoftware saß zugleich in der Gerätefirmware. Google Threat Intelligence Group

Was Google unterbrach

Google ging rechtlich gegen Domains und Server vor, die zur Steuerung des Botnetzes dienten. Außerdem schloss das Unternehmen Videostrong Technology Co. sowie künftige Tochter- und verbundene Unternehmen davon aus, zertifizierte Android-Geräte zu entwickeln oder zu verkaufen und Software an zertifizierte Anbieter zu liefern. Google änderte nach den Berichten zudem Firmware-Prüfungen und Prüfverfahren.

Google schrieb Videostrong mit hoher Zuversicht die Entwicklung und den Betrieb der Hintertür mit dem Ziel finanziellen Gewinns zu. Das ist Googles Bewertung des Falls.

Wie viele Geräte erfasst waren

Google bezifferte das Botnetz auf mehr als 1,3 Millionen Android-Geräte, größtenteils TV-Set-Top-Boxen. Daneben meldete TrendAI 1.472.554 infizierte Geräte in 206 Modellen für den Zeitraum vom 3. Juni bis zum 1. Oktober. TrendAI zufolge lag die tatsächliche Zahl mindestens ebenso hoch. Die beiden Angaben haben unterschiedliche Genauigkeit und Messbereiche.

Die Schadsoftware tauchte Berichten zufolge auch auf Telemedizin-Geräten, Karaoke-Anlagen und Digital Signage auf. Synthient veröffentlichte eine Liste mit 182 Modellnamen. Ein Modellname allein sagt jedoch nicht, ob ein bestimmtes Gerät infiziert ist.

Wie die Hintertür arbeitete

Die als x.cpe bekannte Hintertür, in manchen Versionen com.oemservice genannt, war in der Firmware vorinstalliert und lief mit Systemrechten. Sie konnte nach einem Neustart aus der Partition /oem/ wiederhergestellt werden. Zu den berichteten Funktionen gehörten das heimliche Installieren von Apps, das Ausführen von Befehlen, Bildschirmaufnahmen sowie das Sammeln von Geräte- und Kontoinformationen. Die Betreiber nutzten infizierte Geräte außerdem für Proxy-Verkehr und Werbebetrug und luden weitere Schadsoftware nach.

Eine technische Analyse von NetmanageIT beschreibt zuerst eine HTTP-Anfrage mit einem AES-verschlüsselten JSON-Objekt, das Gerätetelemetrie enthielt. Darauf folgte demnach eine dauerhafte MQTT-Verbindung, über die Befehle und Konfigurationen ausgetauscht wurden. NetmanageIT zufolge betrafen die häufigsten beschriebenen Aktivitäten die Installation, Entfernung und Konfiguration von Modulen. Diese Beobachtung bezieht sich auf die in der Analyse beschriebene Aktivität.

Was die Störung für Gerätebesitzer bedeutet

Eine unterbrochene Steuerinfrastruktur entfernt keine Hintertür aus der Firmware. Weil x.cpe nach einem Neustart wiederhergestellt werden konnte, ist das Löschen einer App kein Beleg dafür, dass die Gerätefirmware bereinigt ist. TrendAI nannte Maßnahmen des Herstellers, Schutz auf Plattformebene oder den Austausch des Geräts als mögliche Wege zum Umgang mit einer in der Firmware verankerten Hintertür.