Android-TV-Boxen: Google zerschlägt Botnetz mit über 1,3 Millionen Geräten

Google hat die Zerschlagung eines weltweiten Botnetzes bekannt gegeben, das aus über 1,3 Millionen Android-basierten TV-Set-Top-Boxen bestand. Nach Angaben des Unternehmens wurden die Kontrollserver der Infrastruktur abgeschaltet, wodurch den Betreibern der Zugriff auf die betroffenen Systeme entzogen wurde. Das als XCPE oder X.CPE bezeichnete Botnetz war in über 200 Ländern aktiv. Die Schadsoftware befand sich bereits vor dem Verkauf der Geräte direkt in deren Firmware.

Schadcode ab Werk vorinstalliert

Die Google Threat Intelligence Group ordnet die Hintertür mit hoher Konfidenz dem chinesischen Auftragsfertiger Videostrong Technology aus Shenzhen zu. Das Unternehmen habe die Backdoor x.cpe absichtlich in die Firmware integriert und betrieben, um finanziellen Gewinn zu erzielen.

Zudem soll der Hersteller Zugänge an Kriminelle verkauft und an nachgeladenen Malware-Modulen externer Partner mitverdient haben. Auch Benjamin Brundage, Gründer des Sicherheitsunternehmens Synthient, führte die x.cpe-Hintertür auf Videostrong zurück.

Die Hauptkomponente der Schadsoftware lief mit umfassenden Systemrechten, deaktivierte Googles Schutzmechanismus Google Play Protect und installierte sich nach einem Neustart aus einer geschützten Partition eigenständig neu. Seit August 2026 installierten die Betreiber zudem als Systempakete getarnte Dropper über eine Schwachstelle zur Rechteausweitung.

Als Einnahmequellen des Netzwerks identifizierte Google den Weiterverkauf von Internet-Bandbreite, Videoverteilung, Klickbetrug bei Online-Werbung, das Nachladen weiterer Hintertüren sowie ehemals kostenpflichtige App-Installationen.

Breite Streuung und zusätzliche Endgeräte

Angesichts der Gefahr durch manipulierte Android-Systeme wird ein proaktiver Schutz für das eigene Gerät immer wichtiger. Wie Sie Ihr Smartphone mit fünf einfachen Schritten wirksam gegen Hacker und Viren absichern, erfahren Sie in diesem kostenlosen Ratgeber. 5 Schutzmaßnahmen für Android-Smartphones jetzt entdecken

Wie Google Cloud mitteilte, stellten Android-TV-Set-Top-Boxen den überwiegenden Teil der Infektionen dar. Allerdings seien vereinzelt auch Telehealth-Geräte, Karaoke-Maschinen und digitale Anzeigetafeln betroffen gewesen. Ein einzelnes infiziertes Gerät konnte bis zu drei sogenannte Residential-Proxy-Entwicklerpakete beherbergen.

Unter den Modulen befand sich laut Google Cloud unter anderem AppSalt, ein Proxy-SDK von Honeygain, das ohne Nutzerinteraktion ein Zustimmungsflag setzte und den Betrieb einstellte, sobald eine Installation über den offiziellen Google Play Store erfolgte.

Weitere identifizierte Module umfassten BWM/IPWeb, GaGaNode sowie die Hintertüren Spirit und Moyu, die für Werbebetrug, Manipulationen der Zwischenablage und Proxy-Funktionen eingesetzt wurden.

Telemetriedaten des Sicherheitsunternehmens TrendAI Research, das über Monate hinweg Daten zur Vorbereitung der Aktion lieferte, verzeichneten im Zeitraum von Juni bis Oktober 2026 insgesamt 1.472.554 infizierte Geräte über 206 Modelle in mehr als 170 Ländern.

Rund 1,33 Millionen dieser Geräte waren mit Modulen für Proxydienste oder Werbebetrug ausgestattet. TrendAI registrierte 3.849.226 unterschiedliche Wohnsitz-IP-Adressen, mit Spitzenwerten von bis zu 366.562 aktiven Adressen an einem einzelnen Tag, sowie mehr als 2,3 Milliarden Kontrollnachrichten.

Viele Sicherheitslücken lassen sich bereits durch das korrekte Einspielen von System-Updates schließen, bevor Kriminelle sie ausnutzen können. Dieser Gratis-Report zeigt Ihnen verständlich, wie Sie Ihr Gerät durch automatisierte Prozesse rund um die Uhr vor Malware schützen. Kostenlosen Android-Update-Ratgeber herunterladen

Zu den am stärksten betroffenen Regionen zählten Malaysia, Brasilien, der Irak, Mexiko und Taiwan. In Deutschland, den USA, Großbritannien, Australien und Kanada wurden jeweils etwa 26.000 bis 42.000 kompromittierte Geräte erfasst.

Konsequenzen für Hersteller und Zertifizierungsprozesse

An der internationalen Operation zur Zerschlagung des Netzwerks waren neben Google die Sicherheitsunternehmen Plume, TrendAI, Lumen, HUMAN Security und Synthient sowie die Nationale Polizeibehörde Japans beteiligt.

Durch die Abschaltung der Steuerungsdomänen der Affiliate-Module wurde laut Google zudem der Zugriff auf mindestens zehn Millionen weitere kompromittierte Endgeräte gekappt. Eine offizielle Liste aller betroffenen Gerätemodelle veröffentlichte der Konzern nicht.

Als direkte Konsequenz schloss Google den Hersteller Videostrong sowie künftige Tochter- und Partnerfirmen dauerhaft von der Zertifizierung für Android-Geräte mit vorinstallierten Google-Apps aus. Dem Unternehmen ist es künftig zudem untersagt, Software an zertifizierte Hersteller zu liefern. Darüber hinaus passte Google seine internen Prüfverfahren für zertifizierte Android-Geräte an.