Google hat das XCPE-Botnetz blockiert / Mehr als 1,3 Millionen Videostrong-TV-Boxen waren bereits ab Werk infiziert

Google hat die Infrastruktur des XCPE-Botnetzes blockiert, das mehr als 1,3 Millionen Android-Geräte kontrollierte, darunter TV-Boxen des Unternehmens Videostrong Technology. Laut der Google Threat Intelligence Group war die Malware bereits installiert, bevor die Geräte die Käufer erreichten, und konnte nach dem ersten Einschalten aktiviert werden.

Im Gegensatz zu gewöhnlichen Infektionen mussten die Nutzer weder verdächtige Apps herunterladen noch gefährliche Websites aufrufen. Der Schadcode war in die Software der Geräte integriert. Google zufolge soll der Hersteller das System aufgebaut und verwaltet und den Zugang anschließend an Betreiber verkauft haben, die an illegalen Aktivitäten beteiligt waren.

XCPE nutzte die Internetverbindungen der Besitzer zur Umleitung des Datenverkehrs, zur Erzeugung gefälschter Werbeaufrufe und zur Installation weiterer Programme. Die Malware konnte Befehle aus der Ferne ausführen, Bildschirmaufnahmen erstellen, Tastatureingaben simulieren, Informationen über Konten und Apps sammeln und Google Play Protect deaktivieren. Ab 2024 wurde der Mechanismus so verändert, dass er einer Entdeckung entging. Die Entfernung der App reichte nicht aus, da sie sich nach einem Neustart erneut installierte.

Google blockierte gemeinsam mit Sicherheitsunternehmen und Behörden die Command-and-Control-Server und beendete die Zusammenarbeit mit Videostrong. Die Maßnahmen könnten auch den Zugang zu mindestens 10 Millionen kompromittierten Geräten beeinträchtigen, die über verbundene Netzwerke infiziert wurden. Das Unternehmen empfiehlt den Besitzern, verdächtige Geräte vom Internet zu trennen und beim Hersteller eine sichere Software oder den Austausch des Geräts anzufordern.