Mehr als 1,3 Millionen Android-TV-Set-Top-Boxen wurden mit Malware ausgeliefert, die heimlich die Internetverbindungen der Nutzer vermietete und Werbebetrug betrieb. Google erklärte dies in einer Ankündigung, über die KrebsOnSecurity am 3. November berichtete. Google und Branchenpartner zerschlugen das Botnetz mit dem Namen XCPE in einer Aktion, von der sie erwarten, dass sie auch den Zugriff auf mindestens 10 Millionen weitere kompromittierte Geräte über die Infrastruktur seiner Affiliates unterbinden wird.
Die betroffenen Geräte beschränken sich nicht auf Streaming-Hardware für den Fernseher. Die Google Threat Intelligence Group (GTIG) fand dieselbe Malware auch in Android-basierten Telemedizingeräten, Karaokemaschinen und digitalen Werbedisplays, obwohl TV-Boxen den größten Teil der XCPE-Infektionen ausmachten.
GTIG und andere Branchenexperten machten den chinesischen TV-Box-Hersteller Videostrong Technology Co. als Verantwortlichen für die Einbindung der Malware aus. Google erklärte, die Geschäftsbeziehung zu dem Unternehmen beendet zu haben, und leitete rechtliche Schritte ein, um Domains und Server abschalten zu lassen, die zur Steuerung des Botnetzes und zur Installation weiterer Malware dienten.
Vom ersten Start bis zur vermieteten Internetverbindung
Der Angriff begann beim Gerätelieferanten. Google verlangt von Android-Herstellern, Kompatibilitäts- und Sicherheitstests zu bestehen, erklärte jedoch, Videostrong habe einen Weg gefunden, unmittelbar nach dem ersten Start eines Geräts durch einen Kunden Schadsoftware zu laden. Google erklärte, die Schwachstelle inzwischen behoben zu haben.
Die Malware nahm Geräte in XCPE auf, einen Namen, der von einer ihrer zentralen Codekomponenten abgeleitet ist. Anschließend lud sie Software, die die Internetadresse des Besitzers über mehrere Residential-Proxy-Dienste zum Weiterverkauf verfügbar machte. Diese Dienste ermöglichen es Kunden, Datenverkehr über den Anschluss einer anderen Person zu leiten, um die eigene Adresse zu verbergen oder so zu erscheinen, als befänden sie sich an einem anderen Ort.
Für die betroffenen Besitzer wurde die Verbindung ohne ihr Wissen oder ihre Zustimmung zur Infrastruktur für fremden Datenverkehr. KrebsOnSecurity hat dokumentiert, dass Residential-Proxys für Account-Übernahmen, Werbebetrug und großangelegtes Scraping von Inhalten für KI-Projekte genutzt wurden.
Laut GTIG verkaufte Videostrong Zugang an kriminelle Affiliates und installierte deren Malware-Module auf infizierten Geräten. Damit wurde die Hintertür des Herstellers zu einem Verbreitungskanal für mehrere Betreiber und nicht zu einem Auslieferungsmechanismus für einen einzelnen Proxy-Dienst.
Proxy-Software auf infizierten Boxen
GTIG identifizierte mehrere Anbieter von Residential-Proxys, deren Software Development Kits von XCPE-infizierten Geräten regelmäßig heruntergeladen wurden. Dazu gehörten AppSalt, auch bekannt als Honeygain, NetNut, EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb und GaGaNode.
AppSalt/Honeygain gehört dem in Vilnius ansässigen Unternehmen Oxylabs. Im Oktober 2026 trat Oxylabs nach einer Investition von 130 Millionen US-Dollar durch die Private-Equity-Gesellschaft Warburg Pincus unter der Marke Source neu am Markt auf. Berichten zufolge wurde das Unternehmen bei dieser Transaktion mit 3,6 Milliarden US-Dollar bewertet. Oxylabs reagierte nicht auf eine Anfrage von KrebsOnSecurity um Stellungnahme.
NetNut wird vom börsennotierten israelischen Unternehmen Alarum Technologies betrieben. Im Juli 2026 beschlagnahmten das FBI und Branchenpartner Hunderte zugehörige Domains. Dabei wurde NetNut vorgeworfen, ein separates TV-Box-Proxy-Botnetz mit dem Namen Popa betrieben zu haben.
Auch Synthient, ein Startup zur Überwachung von Proxy-Diensten, das in Googles Ankündigung genannt wird, untersuchte eine beliebte, bereits infizierte Box. Sie wird unter der Marke MECOOL vom börsennotierten chinesischen Unternehmen Skyworth Technology verkauft. Im Bericht vom 3. November kam Synthient zu dem Ergebnis, dass MECOOL die Malware von Videostrong mitgeliefert und AppSalt/Honeygain sowie weitere Proxy-Komponenten installiert hatte.
Synthient-Gründer Ben Brundage sagte KrebsOnSecurity, dass die Malware von Videostrong auch Software für den Proxy-Dienst Grass verbreitete. Ein KrebsOnSecurity-Bericht vom November 2025 hatte einen Forscher von Censys zitiert, der auf Superbox-Streaminggeräten gebündelte Grass-Proxy-Software gefunden hatte. Der Gründer von Grass bestritt jedoch eine Verbindung zu diesem Box-Hersteller.
Vertrieb über Konsumentenmarketing half diesen Produkten, Käufer zu erreichen. KrebsOnSecurity hatte zuvor berichtet, dass Superbox und ähnliche Boxen Kunden über TikTok und andere Social-Media-Influencer anlockten, die Zugang zu Hunderten unlizenzierten Pay-TV-Diensten gegen eine einmalige Gebühr bewarben. Synthient erklärte, die Beliebtheit von MECOOL sei nach einer Empfehlung durch den YouTube-Kanal Linus Tech Tips aus dem Jahr 2023 stark gestiegen; der Kanal hat fast 17 Millionen Abonnenten.
Warum die Zerschlagung über XCPE hinausreichen könnte
Die Aktion knüpft an frühere Arbeiten an, die offengelegt haben, wie Residential-Proxy-Infrastrukturen Infektionen innerhalb der Netzwerke von Kunden ermöglichen können. Im Januar 2026 dokumentierte Synthient das separate Kimwolf-Botnetz, das innerhalb praktisch einer Nacht Millionen Android-Set-Top-Boxen kompromittierte, und zwar über eine weit verbreitete Schwachstelle in Residential-Proxy-Diensten. Die Schwachstelle ermöglichte Angriffe auf andere Android-Geräte in den lokalen Netzwerken der TV-Box-Besitzer.
Kimwolf startete damals weltweit außergewöhnlich große verteilte Denial-of-Service-Angriffe. Die Forschung von Synthient veranlasste Dutzende Proxy-Anbieter, ihre Netzwerke zu patchen. Dadurch wurde das Botnetz fragmentiert, und seine Angriffe ließen sich für Netzwerkbetreiber leichter beherrschen. Die Motion Picture Association arbeitete anschließend mit Synthient zusammen, um beliebte Android-TV-Boxen zu kaufen und zu untersuchen, darunter Geräte, die mit Kimwolf und anderen IoT-Botnetzen infiziert waren.
Bei XCPE ergibt sich die erwartete Reichweite der Zerschlagung sowohl aus den Affiliates als auch aus der Hintertür des Herstellers. GTIG erklärte, die Proxy- und Werbebetrugs-Affiliates von Videostrong hätten ihre Module jeweils auch über Kanäle außerhalb von XCPE verbreitet. Deshalb dürfte die Aktion nach Schätzung von GTIG den Zugriff auf mindestens 10 Millionen weitere kompromittierte Geräte unterbinden. Brundage nannte die Zahl von 1,3 Millionen XCPE-Geräten „äußerst konservativ“ und bezeichnete die Aktion als wahrscheinlich größte Operation gegen mit Hintertüren versehene TV-Boxen, die Synthient bisher gesehen hatte.
