Google en partners verstoorden de command-and-controlinfrastructuur van XCPE, een botnet dat vooral Android TV-boxen trof. TrendAI telde naar verluidt 1.472.554 besmette apparaten op 206 modellen tussen juni en oktober 2026. De verstoring van botnetcommunicatie en het verwijderen van malware uit de firmware van een apparaat zijn verschillende zaken.
Wat de verstoring veranderde
Command-and-control (C2) is de infrastructuur waarmee malware contact houdt en opdrachten ontvangt. Google werkte bij de verstoring van XCPE-domeinen samen met Japanse opsporingsdiensten en cybersecuritybedrijven. Google koppelde de campagne aan Videostrong Technology Co. en verbrak volgens berichtgeving de banden met het bedrijf. Google zou Videostrong ook hebben verboden apparaten met vooraf geïnstalleerde Google-apps te maken.
Google meldde dat XCPE in de firmware van apparaten was ingebouwd voordat die gebruikers bereikten. De malware ontwikkelde zich volgens de berichtgeving vanaf ten minste eind 2024 tot een modulaire opzet met drie fasen. Een poging om de malware te verwijderen kon worden gevolgd door automatische herinstallatie.
De gemelde telling van TrendAI
TrendAI telde in de periode van juni tot en met oktober 2026 1.472.554 geïnfecteerde apparaten op 206 modellen, volgens de berichtgeving over het onderzoek. De bredere berichtgeving over XCPE noemt ruim 1,3 miljoen getroffen apparaten. De preciezere telling van TrendAI hoort bij die specifieke meetperiode.
Wat het advies over Play Protect betekent
Google adviseerde gebruikers volgens berichtgeving om te controleren of Play Protect is ingeschakeld en settopboxen van gerenommeerde fabrikanten te kopen. TrendAI meldde dat de implantaatsoftware als systeemapp draaide, Play Protect uitschakelde en niet door eigenaars kon worden verwijderd.
Een actieve Play Protect-instelling is daarom geen melding dat de firmware is opgeschoond. De controle zegt alleen of die beveiligingsfunctie aanstaat.
