Google maakte op 2 november 2026 bekend dat het de XCPE-achterdeur en het bijbehorende botnet had verstoord. Het bedrijf verbrak ook de samenwerking met Videostrong Technology Co. en zei dat de fabrikant geen gecertificeerde Android-apparaten meer mocht maken of software aan gecertificeerde leveranciers mocht leveren.
Google schatte dat ongeveer 1,3 miljoen apparaten in de XCPE-botnet waren opgenomen. De meeste waren Android TV-settopboxen; ook andere Android-apparaten voor onder meer karaoke, telezorg en digitale bewegwijzering waren getroffen. Een aparte schatting van Google: door domeinen voor de besturing van verwante malwaremodules uit te schakelen, kon het de toegang tot minstens 10 miljoen andere gecompromitteerde apparaten afsnijden. Die tweede schatting betreft niet extra XCPE-infecties.
Google stelde dat Videostrong XCPE opzettelijk had ontwikkeld en beheerd om eraan te verdienen. Het bedrijf zei ook dat het zijn beoordelingsproces voor apparaten had aangepast nadat de malware een hiaat in de certificeringstests had benut.
Hoe de XCPE-achterdeur werkte
Volgens Google zat de achterdeur in de firmware: software die ingebouwd is in een apparaat. De fabrikant zou verhullingstechnieken hebben gebruikt om de kwaadaardige code tijdens tests verborgen te houden. Die code werd volgens Google pas actief nadat een apparaat voor het eerst was opgestart.
Google schreef verschillende activiteiten toe aan modules die via de achterdeur werden verspreid: advertentiefraude, het opnemen van apparaten in residentiële proxynetwerken en het installeren van extra malware. Een residentiële proxy leidt internetverkeer via een gewone thuisverbinding. Google meldde daarnaast dat operators schermafbeeldingen konden maken, toetsaanslagen konden injecteren, gegevens over accounts en het systeem konden verzamelen en opdrachten op afstand konden uitvoeren.
Wat de modellenlijst van Synthient zegt
Een exacte modelmatch is een aanwijzing om verder te kijken, geen bevestiging dat een individueel apparaat besmet is. Synthient zegt dat de namen op zijn lijst modellen zijn die in de campagne zijn waargenomen. Voorbeelden zijn KM9PRO, KM9PRO_MAX, KM7PLUS, LEAP-S1 en UHD_Google_TV_STB.
In één record voor KM9PRO staan de merknaam MeCool, fabrikant SkyworthDigital, productnaam HPR311-MECOOL en model UHD Google TV STB. Merk en fabrikant zijn dus aparte velden in dat record. De vermelding van de fabrikant is geen bewijs dat SkyworthDigital verantwoordelijk was voor XCPE.
Een zichtbare app verwijderen was niet genoeg in het beschreven geval
Business Standard meldde dat Google had vastgesteld dat XCPE na een herstart opnieuw kon worden geïnstalleerd, zelfs nadat het zichtbare apppakket was verwijderd. De besturingsinfrastructuur verstoren en de code in de firmware verwijderen zijn verschillende zaken; in het beschreven geval voorkwam het verwijderen van de app de terugkeer na een herstart niet.
MECOOL gaf een reactie
In een video die op 5 november verscheen, las UG Tech een e-mail voor die werd toegeschreven aan de technische after-salesdienst van MECOOL. De dienst zei dat Videostrong de producten van MECOOL maakte, dat Videostrong beroep had aangetekend bij Google en dat MECOOL gewone gebruikers niet adviseerde hun apparaten niet meer te gebruiken.
