Sebastian Juul
Billiga tv-boxar från en kinesisk tillverkare kom med en inbyggd bakdörr som gjorde hemnätverket till en spelbricka för bedragare.
Google säger sig vara övertygat om att den kinesiska tillverkaren Videostrong medvetet byggde in bakdörren och sålde åtkomsten vidare till kriminella grupper. Bakdörren förvandlade 1,3 miljoner Android TV-boxar till ett botnät kallat XCPE, som Google och en grupp externa säkerhetsforskare slog ut i slutet av oktober 2026.
Avslöjandet kom i en rapport från Googles Threat Intelligence Group den 2 november 2026, där teamet skriver att det är mycket säkert på att Videostrong med vett och vilja la in bakdörren i boxarna och sålde åtkomsten till brottslingar.
Så gömdes bakdörren i fabriken
Bakdörren heter x.cpe och installeras direkt i firmware-partitionen `/oem/` under tillverkningen, enligt den tekniska genomgången hos Aviatrix. Det gör att koden överlever en fabriksåterställning, den ligger inte bland de appar en användare kan avinstallera, utan i systemlagret.
Det första x.cpe gör när boxen startar är att stänga av Google Play Protect, Androids inbyggda säkerhetskontroll, så att ytterligare skadliga moduler kan installeras tyst. Därefter laddas moduler för annonsbedrägeri (`Fission`), dold webbtrafik (`HiddenView`) och åtta samtidiga proxy-tjänster som sålde ägarens hembredband vidare till den som ville dölja sin egen trafik, bland annat `Linkfog`, `Traffmonetizer` och `AppSalt`.
Bedragarna fick alltså på en gång ett dolt annonsbedrägeri-nätverk och en pool av miljontals riktiga bostadsuppkopplingar runt om i världen att skicka trafik genom.
Kopplingen till BadBox 2.0
XCPE är inte det första botnätet av sitt slag. Googles Threat Intelligence Group skriver enligt Aviatrix att två av malware-familjerna på de kapade boxarna, `Moyu` och `Bird`, har direkta kopplingar till det tidigare botnätet BadBox. När Google stramade åt reglerna efter BadBox-avslöjandet byggde Videostrong om sin arkitektur i slutet av 2024, möjligen som ett svar på Googles tidigare åtgärder kring BadBox.
Enligt Googles räkning var 1,3 miljoner enheter aktiva i själva XCPE-nätverket, men när kontrolldomänerna släcktes ströps åtkomsten till minst ytterligare 10 miljoner komprometterade enheter som styrdes av Videostrongs affiliate-partner.
Så drabbas användarna, och vad man kan göra
Geografiskt är spridningen bredast i Malaysia, Brasilien, Irak, Mexiko och Taiwan, men USA, Tyskland, Storbritannien, Australien och Kanada rapporterade också mellan 26 000 och 42 000 infekterade enheter vardera, enligt siffror som Cybernews återger från Googles rapport.
Säkerhetsföretaget Synthient har publicerat en lista på 182 modellnamn som har setts i kampanjen, med MECOOL-märkta boxar som ett genomgående exempel. Enligt Synthient räcker modellnamnet dock inte för att slå fast att en enskild box är infekterad.
Det finns ingen enkel ”så här rensar du telefonen”-väg. Eftersom x.cpe sitter i firmware installerar den enligt The Hacker News om sig själv varje gång boxen startar om. Nätverksföretaget Plume rekommenderar en fullständig fabriksåterställning, medan Synthient går längre och råder konsumenter att slänga boxarna eftersom de utgör en hög risk för skadlig kod.
Google har stängt av Videostrong helt från sitt certifierade Android-ekosystem. Tillverkaren och eventuella framtida dotterbolag får inte längre bygga certifierade Android-enheter, leverera kod till andra certifierade partner eller sälja hårdvara med Googles appar förinstallerade.
Den praktiska skyddsvägen för den som funderar på att köpa en ny tv-box är att hålla sig till enheter som är Play Protect-certifierade, det vill säga har gått igenom Googles test av firmware och förinstallerade appar. Google håller en officiell lista över certifierade Android-enheter på `android.com/certified`, och på en certifierad box visar Play Store-appen ”Play Protect certifierad” under inställningarna.
