Google meldde dat het eind oktober 2026 de command-and-controlinfrastructuur (C2) van het x.cpe-botnet had verstoord. Het botnet omvatte volgens Google meer dan 1,3 miljoen Android-apparaten, vooral tv-settopboxen. De actie trof de infrastructuur waarmee de apparaten werden aangestuurd; ze betekende niet automatisch dat de firmware op die apparaten was opgeschoond. Google Threat Intelligence Group beschreef de operatie en de malware.
Google stelde met hoge mate van vertrouwen dat Videostrong Technology Co. de achterdeur en het botnet opzettelijk had ontwikkeld, uitgerold en geëxploiteerd om geld te verdienen. Dat is Googles beoordeling van de operatie. De juridische stappen waren gericht op domeinen en servers die voor de aansturing werden gebruikt.
Hoe groot was het botnet?
Google meldde meer dan 1,3 miljoen Android-apparaten. TrendAI rapporteerde afzonderlijk 1.472.554 besmette apparaten op 206 modellen, geteld tussen 3 juni en 1 oktober. TrendAI zei dat dit aantal minstens zo hoog was als het werkelijke totaal.
De cijfers hebben elk hun eigen reikwijdte: de ene is een door Google gemeld minimum, de andere een telling van TrendAI voor een specifiek aantal modellen en een meetperiode. De berichtgeving maakt er geen rechtstreekse vergelijking van. Naast tv-boxen trof x.cpe volgens de meldingen ook telezorgapparaten, karaokemachines en digitale schermen.
Wat deed x.cpe op apparaten?
x.cpe stond vooraf in de firmware, de software die de basisfuncties van een apparaat aanstuurt, en draaide met systeemrechten. De achterdeur kon stilletjes apps installeren, opdrachten uitvoeren en gegevens verzamelen, waaronder schermafbeeldingen, toetsaanslagen, account- en apparaatgegevens, app-lijsten en systeemlogboeken. Het botnet werd ook ingezet voor proxyverkeer, advertentiefraude en het laden van andere malware.
Een technische analyse van NetmanageIT beschreef eerst een HTTP-configuratieverzoek met een AES-versleuteld JSON-object met apparaatgegevens. Daarna volgde een permanente MQTT-verbinding, een kanaal voor het uitwisselen van berichten en opdrachten. Volgens die analyse waren het installeren, verwijderen en instellen van modules de meest voorkomende interacties in de beschreven C2-activiteit.
Wat betekent dit voor apparaten thuis?
De achterdeur kon na een herstart terugkomen vanuit de firmwarepartitie /oem/. Een gewone app verwijderen haalt die beschreven persistentie dus niet weg. Plume adviseerde een fabrieksreset vanwege mogelijk geïnstalleerde extra modules. TrendAI noemde ingrijpen door de leverancier, platformbescherming of vervanging van het apparaat als mogelijke maatregelen.
Synthient publiceerde volgens de berichtgeving een lijst met 182 modelnamen. Een vermelding op die lijst bewijst niet dat een specifiek exemplaar besmet is. De gemelde verstoring van de aansturingsinfrastructuur ruimde de firmware op bestaande apparaten niet automatisch op.
