Google teilte am 2. November 2026 mit, die Infrastruktur des XCPE-Botnetzes unterbrochen und die Zusammenarbeit mit Videostrong beendet zu haben. Berichten zufolge waren rund 1,3 Millionen Geräte in XCPE eingebunden, überwiegend Android-TV-Boxen. Google schätzte außerdem, dass der Eingriff in weitere Steuerungsserver den Zugriff auf mindestens 10 Millionen zusätzliche kompromittierte Geräte kappen könnte. Diese zweite Zahl bezieht sich auf Geräte, die mit Modulen verbundener Partner kommunizierten, nicht auf zusätzliche XCPE-Infektionen.
Googles Eingriff und die Reichweite von XCPE
Google führte XCPE auf Videostrong Technology Co. zurück und erklärte, das Unternehmen habe die Hintertür absichtlich entwickelt und betrieben, um damit Geld zu verdienen. Die Geräte seien über mehrere Jahre mit der Schadsoftware ausgeliefert worden. Google beendete nach eigenen Angaben die Beziehungen zu Videostrong und untersagte dem Unternehmen, zertifizierte Android-Geräte herzustellen oder Software an zertifizierte Anbieter zu liefern.
Die Schadsoftware war laut Googles Darstellung im Geräte-Firmwarecode verborgen. Verschleierung habe dafür gesorgt, dass der schädliche Code erst nach dem ersten Start aktiviert wurde und so eine Lücke in Googles Zertifizierungsprüfung ausnutzte. Google erklärte, den Prüfprozess daraufhin geändert zu haben.
Die Steuerungsinfrastruktur, kurz C2 für „Command and Control“, ermöglicht es, infizierte Geräte aus der Ferne zu kontrollieren. Google beschrieb außerdem Module, die für Werbebetrug und Proxy-Netzwerke mit privaten Internetanschlüssen genutzt worden seien oder weitere Schadsoftware auf Geräte geladen hätten. Zu den von Google gemeldeten Funktionen gehörten auch Bildschirmaufnahmen, Tastatureingaben, das Sammeln von Konto- und Systemdaten sowie das Ausführen von Befehlen aus der Ferne.
XCPE betraf laut den Berichten neben Android-TV-Boxen auch andere Android-basierte Geräte, darunter Karaoke-, Telemedizin- und Digital-Signage-Systeme.
Was ein Eintrag in Synthients Modellliste aussagt
Synthient veröffentlicht Modellkennungen, die im Zusammenhang mit der Kampagne beobachtet wurden. Dazu gehören KM9PRO, KM9PRO_MAX, KM7PLUS, LEAP-S1 und UHD_Google_TV_STB. Synthient weist darauf hin, dass ein übereinstimmender Modellname allein nicht belegt, dass ein bestimmtes Gerät infiziert ist. Die Modellliste und ihre Hinweise sind daher ein Anhaltspunkt zur Einordnung, keine Diagnose für ein einzelnes Gerät.
Ein von Synthient aufgeführter Datensatz zu KM9PRO nennt als Marke MeCool, als Hersteller SkyworthDigital, als Produkt HPR311-MECOOL und als Modell UHD Google TV STB. Die getrennten Marken- und Herstellerangaben in diesem Datensatz zeigen, warum ein Markenname allein nicht immer den Hersteller eines Geräts bezeichnet.
Eine sichtbare App zu löschen reichte im beschriebenen Fall nicht
Business Standard berichtete unter Berufung auf Googles Erkenntnisse, dass sich das sichtbare XCPE-App-Paket nach einem Neustart erneut installieren konnte, obwohl es zuvor entfernt worden war. Das berichtete Verhalten betrifft die Entfernung des App-Pakets und den anschließenden Neustart.
MECOOLs Kundendienst nahm Stellung
In einer am 5. November veröffentlichten englischsprachigen Stellungnahme las UG Tech eine E-Mail vor, die dem technischen Kundendienst von MECOOL zugeschrieben wurde. Darin hieß es, Videostrong stelle MECOOL-Produkte her, habe bei Google Einspruch eingelegt und MECOOL rate normalen Nutzern nicht, ihre Geräte nicht weiterzuverwenden.
