Google zerschlägt XCPE-Botnet, das 1,3 Millionen Android-TV-Boxen infiziert

Google gab heute bekannt, dass es mit Branchenpartnern zusammengearbeitet hat, um ein massives Botnet zu zerschlagen, das aus mehr als 1,3 Millionen Android-TV-Set-Top-Boxen besteht. Die Operation richtete sich gegen Geräte des Herstellers Videostrong Technology Co., die mit vorinstallierter Malware ausgeliefert wurden, welche die Internetverbindungen der Nutzer im Geheimen vermietete. Diese Maßnahme soll den Zugriff auf über 10 Millionen weitere kompromittierte Systeme in verschiedenen Kategorien des Internets der Dinge (IoT) unterbinden.

Was passiert ist

Die Google Threat Intelligence Group (GTIG) identifizierte Videostrong Technology Co., einen chinesischen Hersteller, als Hauptakteur hinter dem Botnet mit dem Namen „XCPE“. Der Name leitet sich von einer Kernkomponente der Malware ab, die in die Geräte eingebettet war. GTIG kam zu dem Schluss, dass Videostrong diese schädliche Software absichtlich in seine Hardware integriert hatte, um die Hintertür durch den Verkauf von Zugängen an kriminelle Affiliate-Partner zu monetarisieren. Diese Partner luden dann eigene Malware-Module auf die infizierten Geräte herunter, ohne Einwilligung oder Wissen der Nutzer.

Obwohl Android-TV-Boxen den Großteil der Infektionen ausmachten, wurde die XCPE-Malware auch in anderen Android-basierten IoT-Produkten entdeckt. Dazu gehörten Telemedizin-Geräte, Karaoke-Maschinen und Digital-Signage-Systeme. Google erklärte, dass zwar alle Hersteller von Android-Geräten Kompatibilitäts- und Sicherheitstests bestehen müssen, Videostrong jedoch sein schädliches Software sofort beim ersten Start des Geräts laden konnte. Google merkte an, dass die spezifische Schwachstelle, die diesen anfänglichen Infektionsvektor ermöglichte, inzwischen behoben wurde.

Um die Abschaltung durchzuführen, leitete Google rechtliche Schritte ein, um die Domains und Server zu beschlagnahmen, die Videostrong zur Steuerung des Botnets und zur Verteilung weiterer Malware nutzte. Der Bericht hebt hervor, dass dies kein isolierter Vorfall war, sondern Teil eines breiteren Ökosystems, in dem Gerätehersteller das Vertrauen der Nutzer für Profit missbrauchen. Das Ausmaß der Operation ist erheblich; Experten beschreiben sie als wahrscheinlich größte Maßnahme gegen gehackte TV-Boxen bisher.

Wie es funktioniert

Das XCPE-Botnet operiert, indem es infizierte Geräte in Knotenpunkte für Residential-Proxy-Dienste verwandelt. Sobald ein Gerät kompromittiert ist, installiert es Software, die die IP-Adresse des Nutzers zum Weiterverkauf verfügbar macht. Residential-Proxy-Dienste ermöglichen es Kunden, diese IP-Adressen zu mieten, um ihren Web-Traffic zu anonymisieren oder ihren geografischen Standort zu fälschen. Diese Infrastruktur wird häufig für Anzeigenbetrug, Kontoübernahmen und massenhaftes Content-Scraping für KI-Projekte genutzt.

Die Malware lud Software Development Kits (SDKs) mehrerer Anbieter von Residential-Proxies direkt auf die infizierten Geräte herunter. Zu diesen Anbietern gehörten AppSalt (auch bekannt als Honeygain), das im Besitz von Oxylabs ist, sowie NetNut, EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb und GaGaNode. Einige dieser Unternehmen standen kürzlich unter Beobachtung; so beschlagnahmte das FBI im Juli 2026 Hunderte von Domains, die mit NetNut in Verbindung standen, aufgrund seiner Beteiligung an einem separaten Botnet namens Popa.

Der Vertrieb dieser infizierten Geräte stützte sich oft auf Social-Media-Einflüsse. Marken wie MECOOL und Superbox gewannen an Popularität durch Empfehlungen auf Plattformen wie TikTok und YouTube, wo Influencer ihre Fähigkeit bewarben, piratierte Streaming-Dienste gegen eine einmalige Gebühr bereitzustellen. Beispielsweise erlebte MECOOL einen Anstieg der Verkäufe nach einer Erwähnung durch den YouTube-Kanal Linus Tech Tips im Jahr 2023, obwohl der Kanal später seinen Inhalt aktualisierte, um das Produkt als Betrug zu kennzeichnen und Affiliate-Links entfernte.

Wichtige Details

• Mehr als 1,3 Millionen Android-TV-Set-Top-Boxen wurden als Teil des XCPE-Botnets bestätigt.
• Die Abschaltung soll den Zugriff auf über 10 Millionen weitere kompromittierte IoT-Geräte unterbinden.
• Videostrong Technology Co. wurde als der Hersteller identifiziert, der für die Vorinstallation der Malware verantwortlich ist.
• Infizierte Geräte wurden zur Unterstützung von Residential-Proxy-Diensten einschließlich AppSalt, NetNut und Grass genutzt.
• Die Malware betraf auch Android-basierte Gesundheitsgeräte, Karaoke-Maschinen und Digital-Signage-Systeme.
• Google hat die Sicherheitslücke gepatcht, die es der Malware ermöglichte, während des ersten Starts des Geräts zu laden.

Warum es wichtig ist

Für Software-Ingenieure und Infrastruktur-Leader unterstreicht dieser Vorfall die Risiken, die in der Lieferkette von Consumer-Hardware inherent sind. Wenn Hersteller Geräte absichtlich kompromittieren, entsteht eine persistente Bedrohung, die allein von der Softwareseite her schwer zu erkennen und zu entschärfen ist. Die Nutzung dieser Geräte für Residential-Proxies bedeutet, dass legitimer Traffic Ihrer Anwendungen mit betrügerischer Aktivität vermischt werden kann, was die Bemühungen zur Betrugserkennung und Sicherheitsüberwachung erschwert.

Darüber hinaus verdeutlicht die Abhängigkeit von Residential-Proxies für das AI-Data-Scraping und Ad-Fraud eine wachsende Herausforderung für digitale Dienste. Da KI-Projekte enorme Datenmengen erfordern, steigt die Nachfrage nach anonymisiertem Zugang auf Ebene von Wohngebieten. Dies treibt den Markt für Botnets wie XCPE an und schafft eine Rückkopplungsschleife, in der kompromittierte IoT-Geräte zu wertvollen Waren für kriminelle Unternehmen werden. Das Verständnis dieser Dynamik ist entscheidend für den Aufbau robuster Abwehrmechanismen gegen automatisierten Missbrauch.

Was Sie tun können

• Überprüfen Sie Ihren Netzwerk-Traffic auf ungewöhnliche Muster, die auf die Nutzung von Residential-Proxies hindeuten könnten.
• Prüfen Sie die Sicherheitspraktiken Ihrer Anbieter bei der Beschaffung von IoT-Hardware für Unternehmens- oder Privatkunden.
• Implementieren Sie strenge Authentifizierungsprotokolle für Geräte, um zu verhindern, dass nicht autorisierte Geräte Ihrem Netzwerk beitreten.
• Überwachen Sie Indikatoren für Kompromittierung, die mit bekannten Proxy-SDKs wie AppSalt oder Honeygain verbunden sind.
• Informieren Sie Nutzer über die Risiken beim Kauf inoffizieller Streaming-Geräte, die kostenlose Premium-Inhalte versprechen.
• Bleiben Sie über Threat-Intelligence-Berichte von Gruppen wie GTIG und Synthient auf dem Laufenden, um neue Botnets zu identifizieren.