Google og samarbeidspartnere har tatt ned infrastrukturen som styrte XCPE, et skadevarenettverk med mer enn 1,3 millioner Android TV-bokser. Google mener med høy sikkerhet at produsenten Videostrong Technology Co. med vilje bygget inn en bakdør i enhetene og solgte tilgang til andre kriminelle aktører.

De kompromitterte enhetene skal blant annet ha blitt brukt til annonsesvindel, som boligbaserte proxyer og til å installere mer skadevare. Google opplyser samtidig at nedstengingen også kuttet tilgangen til minst ti millioner andre kompromitterte enheter, fordi de samme styringsserverne ble brukt av over et dusin beslektede skadevarefamilier.

Flere typer enheter ble rammet

De øvrige enhetene ble infisert på andre måter enn gjennom XCPE. De omfatter blant annet TV-bokser som selges i butikk, karaokemaskiner og utstyr for telehelse. Google understreker at ikke alle disse enhetene kjører Android.

Som del av tiltaket har Google avsluttet samarbeidet med Videostrong og trukket tilbake selskapets lisens til å produsere Android TV-enheter med forhåndsinstallerte Google-apper og -tjenester. Selskapet og fremtidige tilknyttede selskaper er også utestengt fra å produsere sertifiserte Android-enheter eller levere programvare til sertifiserte produsenter.

«We assess with high confidence that the backdoor and botnet were intentionally developed, deployed, and operated for financial gain by Videostrong Technology Co.,» skriver Googles Threat Intelligence Group i en rapport publisert mandag. På norsk betyr det at Google med høy sikkerhet vurderer at bakdøren og botnettet ble utviklet, utplassert og drevet med økonomisk vinning som mål av Videostrong Technology Co.

Japan's National Police Agency og sikkerhetsselskapene Lumen, HUMAN Security, Plume, Synthient og TrendAI deltok i arbeidet med å analysere infrastrukturen og forstyrre driften.

Skadevaren ble bygget inn under produksjonen

XCPE skiller seg fra mange andre botnett ved at skadevaren ikke først og fremst kom inn gjennom et sikkerhetshull eller ved at brukeren ble lurt til å installere et program. Den ble lagt direkte inn i enhetenes fastvare mens de ble produsert.

Google sier Videostrong utviklet og distribuerte skadevaren på tvers av flere merkevarer og modeller over flere år. Funksjonene ble fortløpende endret for å unngå oppdagelse og støtte ulike kriminelle samarbeidspartnere.

«We found this malicious software built directly into many different device models and brands over multiple years, supported by dedicated infrastructure and constantly evolving configurations to evade detection and manage our affiliates,» sier Google.

Hovedkomponenten i bakdøren, som spores som x.cpe og com.oemservice, kjører med systemrettigheter i Android. Skadevaren er modulbasert: Bakdørens kommunikasjonsfunksjoner er skilt fra modulene som brukes til å skape inntekter for andre aktører.

Kunne fjernstyre enhetene

Når en infisert enhet starter, kontakter XCPE et kommando- og kontrollserver på domenet anyevonline[.]com. Der henter skadevaren informasjon om tilkobling og innloggingsopplysninger til en MQTT-meldingsmegler. Denne brukes til å motta kommandoer.

Google opplyser at XCPE benyttet ulike underdomener på anyevonline[.]com, avhengig av Android-versjon og enhetstype. MQTT-megleren lå på mqtt.szbboys[.]com og gjorde det mulig for operatørene å sende kommandoer og installere annen skadevare på de infiserte enhetene.

Bakdøren gjorde enhetene til en plattform som andre kriminelle kunne bruke. Moduler knyttet til proxytjenestene Linkfog, AppSalt/Honeygain, GaGaNode, NetNut og Traffmonetizer kunne sende tredjepartstrafikk gjennom de infiserte enhetene uten eiernes kunnskap eller samtykke.

Andre moduler ble brukt til annonsesvindel ved å generere annonsevisninger, laste inn skjulte nettsider og klikke på annonser. Enkelte moduler installerte også andre bakdører, blant annet Moyu, Spirit og Bird, som kunne laste ned og kjøre mer skadevare.

Spor tilbake til Videostrong

Operatørene endret fortløpende oppbygningen av skadevaren. Mot slutten av 2024 begynte Videostrong å bruke en separat laster kalt com.abc.nexus. Denne kjørte de ondsinnede modulene, mens XCPE i hovedsak håndterte kommunikasjonen med styringsinfrastrukturen.

Fra august 2026 begynte operatørene å erstatte lasteren med mindre, spesialiserte droppere som var forkledd som Android-systemapplikasjoner.

I en separat, koordinert rapport beskriver sikkerhetsselskapet Synthient hvordan selskapet knyttet XCPE-bakdøren og infrastrukturen til Videostrong. Utgangspunktet var en MECOOL KM9PRO Max Android TV-boks som ble kjøpt mot slutten av 2025, og som hadde skadevaren forhåndsinstallert.

Under undersøkelsen fant Synthient en offentlig tilgjengelig katalog på serveren file.anyevonline[.]com. Der lå bakdører som ble brukt av operatørene. Katalogen inneholdt også en PDF-mappe med et dokument skrevet av Owen Cao, forsknings- og utviklingsdirektør i Videostrong Technology Co.

Forskerne fant videre at Videostrongs domene videostrong[.]cn pekte til samme IP-adresse som mqtt.anyevonline[.]com. Dette var kommando- og kontrollserveren som gjorde det mulig å liste opp kompromitterte enheter, sende kommandoer og styre installasjon av applikasjoner.

Synthient fant også at en rekke e-postadresser tilhørende Videostrong-ansatte var brukt til å signere bakdørene. Google mener dette peker mot at produsenten installerte skadevaren med vilje, og ikke at den skyldtes en enkelt illojal medarbeider eller en feil i utviklingsarbeidet.

«We believe this campaign wasn't an isolated rogue insider or a development oversight,» sier Google.

Infeksjonen forsvinner ikke av seg selv

Google sier at selskapet har endret sertifiseringsprosessen etter å ha oppdaget at Videostrong brukte tilsløringsteknikker for å unngå sikkerhetstesting. Ifølge Google ble den ondsinnede koden lastet inn først etter at enhetene hadde startet for første gang.

Nedstengingen har forstyrret driften av XCPE, men har ikke fjernet skadevaren fra de infiserte enhetene. Google opplyser at den automatisk installerer seg på nytt fra /oem/-partisjonen dersom den blir fjernet.

For å bli kvitt infeksjonen må brukerne derfor installere ren fastvare. Et alternativ er å koble den berørte enheten fra internett for å hindre videre ondsinnet aktivitet.