XCPE-Botnetz: Google zerschlägt Netz aus 1,3 Millionen Android-TV-Boxen mit Hintertür

Die Google Threat Intelligence Group hat am 2. November 2026 die Zerschlagung des XCPE-Botnetzes öffentlich gemacht. Mehr als 1,3 Millionen Geräte, vor allem Android-TV-Boxen, hingen an einer Hintertür in der Firmware. Google geht mit hoher Sicherheit davon aus, dass der chinesische Hersteller Videostrong sie absichtlich eingebaut hat.

Relevant ist das für alle Netze, in denen Android-Boxen ohne geklärte Herkunft hängen, auch Besprechungsräume und digitale Beschilderung. Dringender Handlungsbedarf besteht bei solchen Geräten, denn die Abschaltung der Server entfernt die Hintertür nicht.

Was ist passiert?

Google nahm in der vergangenen Woche Domains und Server des Botnetzes juristisch vom Netz. Mitgewirkt haben die japanische Polizeibehörde NPA, Lumen, HUMAN Security, Plume, Synthient und TrendAI. Dazu kamen Steuerdomains von mehr als einem Dutzend Schadsoftware-Familien, die über die Hintertür nachgeladen wurden. Weil die Betreiber dieser Schadsoftware ihre Module auch anders verteilen, soll das laut Google den Zugriff auf mindestens zehn Millionen weitere Geräte kappen.

Nach Googles Darstellung verkaufte Videostrong den Zugang an kriminelle Abnehmer. Deren Module machten die Geräte zu Knoten in Residential-Proxy-Netzen, betrieben Werbebetrug oder luden weitere Hintertüren nach. Google hat Videostrong und künftige Tochterfirmen vom Bau zertifizierter Android-Geräte ausgeschlossen.

Wer ist betroffen?

Das Paket x.cpe, in manchen Builds com.oemservice, steckt laut Google in vielen Modellen und Marken. Die Firma Synthient hat nach Angaben von The Hacker News eine Liste mit 182 Modellnamen veröffentlicht, weist aber darauf hin, dass der Name allein keine Infektion belegt. Im Mittelpunkt von Synthients Bericht stehen Boxen der Marke MECOOL. TrendAI zählte laut demselben Bericht 1.472.554 infizierte Geräte in 206 Modellen. Deutschland gehört zu den Ländern mit jeweils rund 26.000 bis 42.000 Geräten. Neben TV-Boxen fanden sich Telemedizin-Geräte, Karaoke-Anlagen und digitale Beschilderung.

Wie kritisch ist das?

Die Hintertür läuft mit Systemrechten und installiert sich nach dem Entfernen beim Neustart selbst wieder aus der OEM-Partition. Laut Google kann sie Apps still installieren, Google Play Protect abschalten, Befehle ausführen, den Bildschirm mitschneiden und das Netz erkunden. Google beobachtete, dass die Betreiber das auch taten, darunter Screenshots, das Einspeisen von Tastatureingaben, das Abziehen von Kontodaten und Reverse Shells.

Für Unternehmen ist vor allem der Standort im Netz riskant: Eine solche Box ist ein fremdgesteuerter Linux-Rechner hinter der Firewall. Dass aktuell Steuerserver fehlen, senkt das Risiko, beseitigt es aber nicht. Google rechnet selbst damit, dass die Szene weiterarbeitet.

Was sollten Admins jetzt tun?

• Inventar: Netz nach unbekannten Android-Boxen durchsuchen, auch Beschilderung, Konferenztechnik und Gäste-WLAN.
• DNS und Firewall: Verbindungen zu den von Google und Synthient veröffentlichten Indikatoren suchen und sperren, etwa anyevonline[.]com und szbboys[.]com.
• Geräte: Gefundene Boxen nach der von The Hacker News wiedergegebenen Empfehlung von Synthient trennen und entsorgen. Ein Zurücksetzen entfernt die Firmware-Hintertür nach den vorliegenden Angaben nicht sicher.
• Segmentierung: Smart-Geräte in ein eigenes Netz ohne Zugriff auf Server und Clients legen.
• Homeoffice: Unternehmenszugänge nur von verwalteten Geräten erlauben, wie TrendAI laut The Hacker News rät.

Einordnung für Unternehmen

Der Fall trifft keine Lücke, die sich patchen lässt, sondern die Beschaffung. Geräte ohne klare Herkunft kommen aus Sicht der Redaktion häufig am IT-Einkauf vorbei ins Haus. Eine einfache Regel hilft: Was keine dokumentierte Update-Versorgung hat, gehört nicht ins Firmennetz, und alles Übrige in ein getrenntes Segment.

Passende Anleitungen auf S-EDV

• Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln und Mikrosegmentierung mit OPNsense und UniFi
• Pi-hole mit Docker: netzwerkweiter Werbe- und Tracker-Blocker

Quellen

• Google Threat Intelligence: Analyse des XCPE-Botnetzes
• The Hacker News: Bericht zur Abschaltung
• LWN: Hinweis auf den Google-Bericht