Volgens BGR vond Google Threat Intelligence Group (GTIG) XCPE op meer dan 1,3 miljoen Android TV-boxen die in verband werden gebracht met Videostrong Technology. BGR dateerde het GTIG-rapport op 2 november 2026. Google verbrak volgens de berichtgeving de banden met Videostrong. De verstoring van de botnetservers betekende niet dat de firmware op elk apparaat was opgeschoond: BGR meldde dat die XCPE na een herstart opnieuw kon installeren. Google Cloud GTIG beschreef de XCPE-campagne in een eigen rapport.
Wat XCPE volgens de berichtgeving kon doen
BGR meldde dat XCPE in de firmware zat en systeemrechten had. Zulke rechten geven software vergaande toegang tot een apparaat. Bij het opstarten stuurde de achterdeur volgens die berichtgeving apparaatgegevens, waaronder het serienummer en het MAC-adres, naar servers van Videostrong. Operators konden vervolgens op afstand apps installeren of shellcommando’s uitvoeren.
Synthient vond XCPE volgens BGR op een gekochte Mecool KM9PRO Max onder de pakketnaam com.oemservice. BGR schreef ook dat Google op één box maximaal drie SDK’s voor residentiële proxy’s aantrof. Zulke software kan internetverkeer via een apparaat laten lopen. Op sommige boxen werden volgens dezelfde berichtgeving bovendien live schermafbeeldingen gemaakt en accountgegevens opgehaald.
Synthient schatte ten tijde van BGR’s bericht van 4 november 2026 dat dagelijks nog ongeveer 500.000 boxen contact maakten met de servers. Dat was een schatting van het dagelijkse contact met de servers, niet een telling van alle Android TV-boxen.
Waarom een serververstoring geen opschoning is
BGR meldde dat Google en beveiligingsbedrijven de botnetinfrastructuur in de week vóór 4 november verstoorden. Google ondernam volgens BGR ook juridische stappen om domeinen en servers uit te schakelen. Dat kon de communicatie met de operators verstoren, maar was geen opschoning van elk apparaat. De firmware kon XCPE na een herstart opnieuw installeren.
Google verbrak volgens BGR de samenwerking met Videostrong en verbood het bedrijf gecertificeerde Android-apparaten te bouwen of software te leveren aan andere gecertificeerde fabrikanten. De berichtgeving beschreef daarmee maatregelen tegen het bedrijf en de infrastructuur, niet het verwijderen van malware van elke box.
Wat bezitters kunnen doen
Een modelmatch is geen diagnose. BGR meldde dat Synthients lijst meer dan 180 modellen bevatte, maar dat een overeenkomst met een model niet bewijst dat een individueel apparaat besmet is.
Een modelnaam op een lijst is een reden om alert te zijn, geen bewijs dat jouw exemplaar besmet is.
Synthient adviseerde bezitters van getroffen boxen volgens BGR om het apparaat van het netwerk te halen, wifiwachtwoorden te wijzigen en de routerfirmware bij te werken. Alleen de achterdeur verwijderen was volgens die berichtgeving niet voldoende wanneer de firmware XCPE na een herstart opnieuw kon installeren.
Voor een andere vorm van risicobeperking adviseert Kaspersky smart-homeapparaten, waaronder tv-boxen, op een apart wifi-netwerk te plaatsen. Telefoons, computers en netwerkopslag kunnen dan op het hoofdnetwerk blijven. Die netwerksegmentatie kan beperken welke andere apparaten een gecompromitteerde box op het thuisnetwerk kan bereiken; ze verwijdert geen malware uit de firmware.
