Googles Threat Intelligence Group (GTIG) fand laut BGR XCPE auf mehr als 1,3 Millionen Android-TV-Boxen mit Verbindung zu Videostrong Technology. Google und Sicherheitsfirmen störten das Botnetz. Das kappte die Steuerung, entfernte aber nicht automatisch die in der Firmware verankerte Schadsoftware.
Googles Fund und die Reaktion auf Videostrong
Der GTIG-Bericht erschien laut BGR am 2. November 2026. Google und Sicherheitsfirmen störten das Botnetz in der Woche vor dem 4. November, berichtete BGR. Google beendete demnach auch die Zusammenarbeit mit Videostrong und untersagte dem Unternehmen, zertifizierte Android-Geräte zu bauen oder Software an andere zertifizierte Hersteller zu liefern.
Die Zahl von mehr als 1,3 Millionen bezieht sich auf Android-TV-Boxen, auf denen XCPE gefunden wurde. BGR zufolge entdeckte Google die Schadsoftware außerdem auf Telemedizin-Geräten, Karaokeanlagen und digitalen Anzeigetafeln. Synthient schätzte laut BGR, dass zum Zeitpunkt der Berichterstattung rund 500.000 Boxen täglich weiterhin Kontakt zu den Servern aufnahmen.
Was XCPE auf den Boxen tun konnte
XCPE saß laut BGR in der Firmware und lief mit Systemrechten. Beim Start soll die Schadsoftware Geräteinformationen wie Seriennummer und MAC-Adresse an Videostrong-Server übermittelt und auf Anweisungen gewartet haben. Betreiber konnten demnach Apps aus der Ferne installieren oder Shell-Befehle ausführen.
Synthient fand die Hintertür laut BGR auf einem Ende 2025 gekauften Mecool KM9PRO Max unter dem Paketnamen com.oemservice. BGR zufolge entdeckte Google auf einer Box bis zu drei SDKs für Residential-Proxys. Auf einigen Geräten ließen Betreiber zudem Live-Screenshots anfertigen und Kontoinformationen abrufen.
Eine Serverstörung bereinigt keine Firmware
Wird die Steuerungsinfrastruktur gestört, ist damit die Schadsoftware auf den Geräten nicht entfernt. BGR berichtet, dass die Firmware XCPE nach einem Neustart erneut installieren konnte. Ein bloßes Löschen des Pakets muss eine Infektion daher nicht beseitigen.
Ein Treffer auf Synthients Liste von mehr als 180 Modellen beweist nicht, dass die einzelne Box infiziert ist. Die Liste ist ein Hinweis auf Modelle, die mit der Kampagne in Verbindung gebracht wurden, aber keine Diagnose für ein konkretes Gerät.
Netzwerkzugriff begrenzen
Synthient riet laut BGR dazu, eine betroffene Box vom Netzwerk zu trennen, das WLAN-Passwort zu ändern und die Router-Firmware zu aktualisieren. Diese Schritte richten sich gegen den Netzwerkzugriff und mögliche weitere Risiken; sie ersetzen keine Bereinigung der Firmware.
Als zusätzliche, allgemeine Schutzmaßnahme empfiehlt Kaspersky, TV-Boxen und andere Smart-Home-Geräte in ein separates WLAN zu legen und Smartphones, Computer sowie Netzwerkspeicher im Hauptnetz zu lassen. Die Trennung kann begrenzen, welche Geräte eine kompromittierte Box im Heimnetz erreicht. Sie entfernt XCPE nicht aus der Firmware.
Ein separates WLAN kann die Reichweite eines kompromittierten Geräts im Heimnetz begrenzen. Gegen Schadsoftware in der Firmware ist es kein Ersatz für eine Bereinigung.
