AKTUELL
Google und Partner unterbrechen XCPE-Botnetz in TV-Boxen
Google und mehrere Partner haben die Steuerung des XCPE-Botnetzes unterbrochen. Die Schadsoftware steckte schon vor dem Verkauf in der Firmware von mehr als 1,3 Millionen TV-Boxen. In seinem Bericht vom 2. November teilte Google mit, dass der Eingriff in der Vorwoche stattgefunden hatte.
Auch in Deutschland waren Geräte betroffen. Die Länderauswertung von TrendAI weist für Deutschland 39.065 beobachtete Geräte im Zeitraum vom 3. Juni bis zum 1. Oktober aus. Wie viele betroffene Boxen heute noch online sind, bleibt offen.
Wie das XCPE-Botnetz die Boxen übernahm
In der Gerätesoftware steckte ein vorinstallierter Dienst mit weitreichenden Systemrechten. Er konnte weitere Programme nachladen und ohne Rückfrage installieren. Laut Googles Analyse der Firmware verschleierte der Hersteller Videostrong den Code so, dass er bei den Prüfungen vor der Auslieferung unentdeckt blieb. Google geht mit hoher Sicherheit davon aus, dass Videostrong die Hintertür gezielt entwickelte und für das Botnetz nutzte.
Die Box konnte dabei weiter ganz normal Filme und Serien abspielen. Im Hintergrund leitete sie je nach installiertem Modul fremden Datenverkehr über den heimischen Internetanschluss. Wer diesen Zugang mietete, konnte nach außen mit der IP-Adresse des Haushalts auftreten. Andere Module erzeugten betrügerische Werbeaufrufe. Google beobachtete außerdem, dass die Betreiber Bildschirminhalte erfassten und Kontoinformationen auslasen.
Welche TV-Boxen sich zuordnen lassen
Das Sicherheitsteam von Synthient kaufte Ende 2025 eine Box des Modells MECOOL KM9PRO Max und wies die Hintertür auf diesem Exemplar nach. In den technischen Unterlagen von Synthient ist die Firmware des untersuchten Geräts als C1.0.8_20250325 dokumentiert. Die Forschenden veröffentlichten auch eine Liste der beobachteten Modellbezeichnungen, darunter sehr allgemeine Einträge wie „4K Google TV Box“. Ein solcher Name allein erlaubt keinen Rückschluss auf das einzelne Gerät.
Wer eine Box zuordnen möchte, findet die Modellbezeichnung meist auf dem Typenschild und den Firmwarestand in den Systeminformationen. Beide Angaben helfen bei einer Anfrage an den Händler oder Anbieter. Das ist besonders dann praktisch, wenn die Box unter einem anderen Namen verkauft oder vom Internetanbieter bereitgestellt wurde.
Was Google mit der Abschaltung erreicht hat
Google ging gegen Server und Domains vor, über die die Betreiber Anweisungen erteilten und Schadprogramme nachluden. Die Maßnahme traf auch die Infrastruktur von Gruppen, die ihre Schadsoftware zusätzlich über andere Kanäle verbreiteten. Nach Googles Einschätzung zur Reichweite des Eingriffs verlieren diese Gruppen dadurch den Zugriff auf mindestens zehn Millionen weitere bereits kompromittierte Geräte. Diese Schätzung bezieht sich auf die breitere Infrastruktur der Gruppen. Die 1,3 Millionen TV-Boxen geben die Größenordnung des XCPE-Botnetzes selbst an.
Google hat außerdem die Zusammenarbeit mit Videostrong beendet und sein Prüfverfahren angepasst. Der Ausschluss betrifft nach Angaben des Unternehmens auch künftige Tochter- und Partnerunternehmen von Videostrong. Er gilt für die Herstellung und den Verkauf zertifizierter Android-Geräte sowie für Softwarelieferungen an andere zertifizierte Anbieter.
Warum ein Zurücksetzen allein nicht reicht
Die Abschaltung kappte den bekannten Steuerungsweg. Ob die Box selbst bereinigt ist, hängt von ihrer Firmware ab. Google beschreibt in seiner technischen Analyse, wie sich der Dienst nach einer Entfernung beim nächsten Start aus einem separaten Bereich der Firmware erneut installiert. Ein gewöhnlicher Werksreset lässt die vorinstallierte Firmware bestehen.
MECOOL kündigte für die KM9PRO Max im April ein Update auf Android 14 an. In den Versionshinweisen zum Updatenennt das Unternehmen Sicherheitspatches. Ob das Update XCPE entfernt, bleibt dort offen.
Was Besitzer bei einem konkreten Verdacht tun können
Synthient rät, verdächtige Geräte vom Netz zu trennen. Gibt es einen konkreten Hinweis auf eine betroffene Box, kann man sie vom Strom nehmen und den Händler oder Anbieter nach einer bestätigten Bereinigung für das genaue Modell fragen. Wer auf einer nachweislich betroffenen Box angemeldet war, kann die betroffenen Konten von einem vertrauenswürdigen Gerät aus absichern.
Auch das BSI riet beim BadBox-Vorfall von 2024 dazu, infizierte Geräte mit vorinstallierter Schadsoftware vom Internet zu trennen.
Stand der Recherche: 3. November 2026, 11:39 Uhr MEZ.
Hauptquellen
- Google Threat Intelligence Group – Untersuchung und Maßnahmen gegen XCPE
- TrendAI Research – Technische Auswertung und Länderzahlen
- Synthient – Firmwaredaten und beobachtete Modellbezeichnungen
- MECOOL – Versionshinweise zum Android-14-Update
- BSI – Empfehlungen zur Netztrennung im BadBox-Fall von 2024
Transparenzhinweis: gadgetChecks hat die betroffenen Geräte und Firmwareversionen nicht selbst untersucht.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
gadgetChecks Technik
Tests, Kaufberatung, Technik-News, Ratgeber, Streaming und aktuelle Angebote.
Technikmagazin öffnenWas sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnenPflege, Kosmetik und Geräte
Produkte und Wissen für Frauen und Männer – ehrlich getestet und verständlich eingeordnet.
Gepflegt öffnenTraining, Ernährung und Supplements
Sport, Ausrüstung und Nahrungsergänzung – verständlich erklärt und kritisch eingeordnet.
Sport & Supplements öffnen
