Im November 2026 hat Google gemeinsam mit Sicherheitsfirmen und Behörden ein großangelegtes Botnet zerschlagen, das mindestens 1,3 Millionen Android-TV-Set-Top-Boxen betraf. Der Kern des Angriffs war die von dem ehemaligen Google-Zertifizierungspartner Videostrong Technology absichtlich eingebaute Firmware-Hintertür, die unter dem Namen XCPE (auch als com.oemservice oder x.cpe bezeichnet) bekannt ist. Die Enthüllungen zeigen ein beunruhigendes Bild von Manipulationen in der Technologielieferkette, bei denen offizielle Zertifizierungen umgangen wurden, um kriminellen Akteuren Zugang zu Millionen von Geräten zu verschaffen.

Wie Videostrong die Google-Zertifizierung umging

Der Hersteller Videostrong Technology, ein chinesischer ODM, baute die Hintertür gezielt in die Firmware seiner Streaming-Boxen ein - insbesondere in Geräte der weit verbreiteten Handelsmarke MECOOL. Anstatt die Malware bereits beim ersten Booten zu aktivieren, nutzte das Unternehmen einen "First-Boot-Umgehungs-Mechanismus": Der schädliche Code wurde erst nach dem initialen Systemstart nachgeladen, wodurch Google-Play-Protect-Prüfungen und automatisierte Zertifizierungs-Tests umgangen wurden. Sobald die Box im Heimnetz aktiv war, stellte die Malware eine permanente MQTT-Verbindung zu den C2-Servern her und deaktivierte den Schutz von Google Play Protect.

Key-Fakten zum Umgehungs-Vorgang

  • Gezieltes Nachladen des Schadcodes erst nach dem first boot.
  • Deaktivierung von Google Play Protect.
  • Persistenz in einer geschützten Systempartition - erneute Aktivierung nach Werksreset.
  • Kommunikation über das leichte IoT-Protokoll MQTT.

Technische Analyse der XCPE-Malware

Die Malware XCPE operiert mit Systemrechten und verwendet das MQTT-Protokoll, um Befehle von den Steuerungs-Domains zu empfangen. Sie ist in der Firmware verankert und kann nach einem kompletten Werksreset automatisch aus einer geschützten Partition wiederhergestellt werden. Die Analyse von Sicherheitsforschern (Synthient, 2026) belegt, dass die Hintertür nach einem Reset selbstständig neu installiert wird, weil sie in der nicht überschreibbaren System-Image-Partition liegt.

Angriffsvektor im Detail

  • Erstmaliger Bootvorgang: System prüft regulär, findet jedoch keine verdächtigen Komponenten.
  • Nachträgliches Laden: Die Firmware holt von einer eigens eingerichteten GitHub-Seite ein Update-Paket, das den schädlichen Code enthält.
  • Aktivierung: XCPE registriert sich als privilegierter Dienst, deaktiviert Play Protect und startet MQTT-Sessions zu den C2-Servern.
  • Persistenz: Der Code ist in einer schreibgeschützten Systempartition abgelegt und überlebt jede lokale Bereinigung.

Betroffene Geräte und Kategorien

Synthient hat nachgewiesen, dass nicht nur TV-Boxen der Marke MECOOL, sondern auch weitere IoT-Geräte von Videostrong die Hintertür tragen. Die betroffenen Kategorien umfassen mindestens drei weitere IoT-Typen:

  • Telemedizin-Geräte (Telehealth).
  • Karaoke-Boxen.
  • Digital-Signage-Displays (Werbedisplays).

Damit können potentiell Haushalte und Unternehmen weltweit von einer persistierenden Bedrohung betroffen sein, die sich nicht durch herkömmliche Reset-Maßnahmen entfernen lässt.

Umfang des Botnets und die Auswirkungen der Abschaltung

Die von TrendAI analysierten Daten zeigen, dass im Zeitraum vom 3. Juni bis 1. Oktober 2026 insgesamt 3,8 Millionen eindeutige IP-Adressen im Umfeld des Botnets registriert wurden. Die unmittelbaren Zahlen laut Google-Quelle (S1) sind:

  • Direkt kompromittierte Geräte im XCPE-Netzwerk: 1,3 Millionen Android-TV-Set-Top-Boxen.
  • Durch die Abschaltung der C2-Infrastruktur getrennte weitere Geräte: 10 Millionen IoT-Geräte.

Die Takedown-Aktion hat die Kommunikationswege zu den Steuerungs-Domains unterbrochen, jedoch verbleibt die Hintertür mit Root-Rechten im System-Image der Geräte. Ohne ein sauberes Firmware-Update bleibt die Gefahr bestehen, dass Kriminelle neue Domains anvisieren und die bereits installierte Schadsoftware erneut aktivieren.

Risiken für die Lieferkette und den Verbraucher

Der Vorfall verdeutlicht, dass offizielle Zertifizierungen (z. B. Google Play Protect) nicht automatisch garantieren, dass Firmware manipulationsfrei ausgeliefert wird. Verbraucher von als Play Protect-zertifiziert deklarierten Budget-Geräten können nicht mehr uneingeschränkt vertrauen, dass die Geräte frei von versteckten Hintertüren sind. Für die Tech-Industrie bedeutet dies, dass IoT-Zulassungs- und Zertifizierungsprozesse stärker gehärtet werden müssen, um ähnliche Angriffe künftig zu verhindern.

FAQ zur XCPE-Hintertür

Wie heißt die Schadsoftware genau und woran erkennt man sie?Die Hintertür läuft unter der Kennung XCPE bzw. dem Paketnamen x.cpe oder com.oemservice. Sie agiert im Hintergrund mit Systemrechten und nutzt MQTT für die Befehlsübermittlung.Reicht ein Zurücksetzen auf die Werkseinstellungen (Factory Reset) aus?Nein. Da die Hintertür fest in der geschützten Systempartition der Firmware abgelegt ist, stellt sie sich nach einem Neustart oder Werksreset selbsttätig wieder her. Experten raten, betroffene Geräte dauerhaft vom Netz zu trennen.Welche konkreten Produkte und Marken sind im Handel betroffen?Der primäre Endkunden-Markenname ist MECOOL. Die Geräte wurden über Plattformen wie Amazon und AliExpress weltweit vertrieben. Zusätzlich wurden Telehealth-Geräte, Karaoke-Boxen und Digital-Signage-Displays identifiziert.

Fazit

Die Zerschlagung des XCPE-Botnets macht deutlich, dass selbst zertifizierte Hardware-Partner gezielt Sicherheitsprüfungen umgehen können, um kriminelle Infrastruktur aufzubauen. Mit mehr als einer Million betroffenen Android-TV-Boxen und zehn Millionen weiteren IoT-Geräten, die durch die Abschaltung der C2-Server isoliert wurden, bleibt das Risiko für Endverbraucher bestehen, solange die persistente Firmware-Hintertür nicht durch ein sauberes Update entfernt wird. Für die Industrie bedeutet der Vorfall, dass Zertifizierungs- und Lieferketten-Prüfungen neu gedacht und rigoroser gestaltet werden müssen, um das Vertrauen der Verbraucher in vernetzte Geräte langfristig zu sichern.