Mountain View, Kalifornien und Garching b. München, 02. November 2026 – Eine Gruppe von Partnern aus Privatwirtschaft und öffentlichem Sektor hat heute die koordinierte Zerschlagung von X.CPE bekannt gegeben, einem globalen Botnet, das sich in mehr als 1,3 Millionen Fernseh-Set-Top-Boxen in über 200 Ländern versteckte. Die Schadsoftware war bereits vor dem Verkauf auf den Geräten verborgen und nutzte die Geräte und Internetanschlüsse der Abonnenten ohne deren Wissen oder Einwilligung. Die Aktion wurde von Google, Plume, TrendAI™, Lumen, HUMAN Security und Synthient gemeinsam mit der japanischen Nationalen Polizeibehörde (National Police Agency) geleitet.
„Operationen wie diese erhöhen die Kosten für Kriminelle und zeigen, dass die Infrastruktur, auf die sie sich stützen, nicht unerreichbar ist“, erklärt Charley Snyder, Head of Disruption Operations bei der Google Threat Intelligence Group. „Um X.CPE auszuschalten, mussten Partner aus der gesamten Branche zusammenarbeiten. Das ist ein Beleg dafür, dass Zusammenarbeit eines der wirkungsvollsten Mittel gegen Bedrohungen ist, die Grenzen und Branchen überschreiten.“
Ein vertrautes Gerät mit einer unbekannten Bedrohung
X.CPE war bereits in der Firmware – der Software, die die Grundfunktionen eines Geräts steuert – verankert, bevor die Set-Top-Boxen in die Haushalte der Abonnenten gelangten. Die Malware wurde so entwickelt, dass sie Sicherheitsprüfungen vor der Markteinführung umgeht. Google hat seinen Prüfprozess daraufhin angepasst und den verantwortlichen Gerätehersteller sowie alle künftigen Tochter- und Partnerunternehmen von der Herstellung von Geräten mit vorinstallierten Google-Apps ausgeschlossen. Anders als Infektionen, die darauf angewiesen sind, dass Nutzer einen verdächtigen Anhang öffnen oder eine Anwendung installieren, kam diese Bedrohung als Teil des Geräts selbst ins Haus. Die Abonnenten erhielten weder eine Einwilligungsabfrage noch eine Benachrichtigung oder eine Möglichkeit zum Opt-out.
Google, Plume, TrendAI™, Lumen, HUMAN Security und Synthient führten gemeinsam mit der japanischen Nationalen Polizeibehörde eine koordinierte Disruptionskampagne gegen X.CPE durch. Jede Organisation brachte ihre Expertise in den Bereichen Sicherheit vernetzter Geräte, Malware-Analyse, Netzwerktransparenz und digitaler Betrug ein, um das Botnet zu analysieren und seinen Betrieb zu stören.
Gemeinsam legten sie eine Bedrohung lahm, die sich hinter scheinbar routinemäßiger Geräteaktivität verbarg: In TV-Set-Top-Boxen eingebettete Software, die den Botnet-Betreibern Fernzugriff gewährte und es ihnen ermöglichte, Breitbandanschlüsse privater Haushalte ohne Zustimmung der Abonnenten auszunutzen. Der Takedown störte zudem die Command-and-Control-Domains, über die die Malware-Module der kriminellen Affiliates gesteuert werden. Da diese Affiliates ihre Module auch über Kanäle außerhalb von X.CPE verbreiten, geht Google davon aus, dass die Abschaltung dieser Domains den Zugriff auf mindestens 10 Millionen weitere kompromittierte Geräte unterbindet.
Die Aktion zeigt, wie wichtig es ist, Erkenntnisse über Organisationsgrenzen hinweg zu verknüpfen, um Bedrohungen zu bekämpfen, die Technologie- und Netzwerkgrenzen überschreiten. Indem die Partner unterschiedliche Perspektiven auf kompromittierte Geräte, Schadsoftware und Internetverkehr zusammenbrachten, ermöglichten sie einen koordinierten Takedown, der darauf abzielte, unbefugten Zugriff und dessen Monetarisierung zu unterbinden sowie Gefahren für die Privatsphäre der Abonnenten, Breitbandressourcen und das Vertrauen in vernetzte Geräte zu beseitigen.
Heimische Breitbandanschlüsse ohne Erlaubnis zu Geld gemacht
Das Botnet erwirtschaftete mit den kompromittierten Geräten auf unterschiedliche Weise Einnahmen, darunter der Weiterverkauf von Bandbreite, die Auslieferung von Videoinhalten, betrügerische Werbung (Ad Fraud), das Nachladen zusätzlicher Backdoors und – in früheren Versionen – die kostenpflichtige Installation von Apps.
Residential-Proxy-Software erlaubte es, Datenverkehr Dritter über die Internetanschlüsse der Abonnenten zu leiten und dabei deren private IP-Adressen und Bandbreite ohne Erlaubnis zu nutzen. Die Forscher stellten außerdem fest, dass Geräte-, Netzwerk- und Kontoinformationen erfasst wurden und dauerhafte Fernzugriffsmöglichkeiten bestanden.
Für Service Provider verdeutlichen die Erkenntnisse ein Supply-Chain-Risiko, das sich an der alltäglichen Leistung eines Geräts nicht unbedingt erkennen lässt. Eine funktionierende Streaming-Box kann dennoch unerklärlichen Datenverkehr erzeugen und das Vertrauen in den Breitbanddienst untergraben.
„Um das vernetzte Zuhause zu schützen, braucht es Transparenz über Bedrohungen, die Abonnenten nicht sehen können und die sie auch nicht erkennen müssen“, sagte Chris Griffiths, Chief Technology Officer bei Plume. „Indem wir Breitband-Intelligence in diese gemeinsame Aktion einbrachten, haben wir dazu beigetragen, versteckte Supply-Chain-Risiken aufzudecken und koordiniertes Handeln zu unterstützen, damit Netzwerke für Service Provider und ihre Abonnenten sicherer werden.“
Komplementäre Expertise, koordiniertes Vorgehen
Folgende Partner haben zu der von Google geleiteten Aktion gegen X.CPE beigetragen:
TrendAI™
Robert McArdle, Director of Cybercrime Research bei TrendAI™:
„Wir begrüßen das entschlossene Vorgehen von Google, diese Bedrohung zu beseitigen. Unsere Forschung hat über 1,3 Millionen von dieser Kampagne betroffene Geräte identifiziert. Das sind Millionen von Haushalten und Unternehmen, die nichts davon ahnten, dass ihre Geräte als Komplizen für aktive kriminelle Machenschaften missbraucht wurden – sei es, um Werbetreibende zu betrügen oder um über Residential Proxies, also über fremde Internetanschlüsse, weitere Angriffe auszuführen, wozu häufig auch Identitätsdiebstahl unter dem Deckmantel von Personen aus der jeweiligen Region gehört. Diese Aktion von Google und den Forschungspartnern wirft die Angreifer erheblich zurück. TrendAI Research wird sie genau im Auge behalten, falls sie versuchen, ihre Infrastruktur wieder aufzubauen.“
HUMAN
Gavin Reid, CISO bei HUMAN:
„Netzwerke kompromittierter Geräte leben vom Profit: Die Betreiber übernehmen Geräte und Haushaltsanschlüsse ohne Einwilligung und monetarisieren diesen Zugang dann über Proxy-Dienste und verschiedene Betrugsaktivitäten. Gemeinsames Vorgehen, wie bei dieser Operation, unterbricht die für die Monetarisierung nötige Infrastruktur, erhöht die Betriebskosten dieser Netzwerke und schwächt die Anreize, die sie am Leben halten.“
SYNTHIENT
Benjamin Brundage, CEO bei Synthient:
„Illegale Pay-per-Install-Netzwerke bilden ein wesentliches Rückgrat des gesamten Betrugs-Ökosystems. Sie befeuern alles, von direktem Ad Fraud bis hin zu unregulierten Proxy-Netzwerken, über die Credential Stuffing und DDoS-Botnets vorangetrieben werden. Der Takedown von X.CPE trägt dazu bei, dieses Umfeld insgesamt zu schützen, ebenso wie die ahnungslosen Verbraucherinnen und Verbraucher, die Opfer dieser Masche wurden.“
Hintergrund und Quellen
Weitere technische Informationen bieten Google Threat Intelligence und TrendAI Research.
Pressekontakt
PER Connect GmbH, Christina M. Rottmair / Anna Magali Golling, Hofmannstraße 54, 81379 München, [email protected]
