Google heeft samen met partners uit de sector een botnet ontmanteld van meer dan 1,3 miljoen Android-tv-boxen. Die toestellen werden al met schadelijke software geleverd, die ongemerkt de internetverbinding van de gebruiker aan vreemden verhuurde.
Wat er gebeurde
Volgens een rapport van de Google Threat Intelligence Group (GTIG) bevatten de tv-boxen van de Chinese fabrikant Videostrong Technology Co. malware waarmee ze in een botnet terechtkwamen. Dat botnet heet "XCPE", naar een van de kernonderdelen van de code. GTIG en andere experts besloten dat Videostrong daar zelf verantwoordelijk voor was. Google heeft de banden met het bedrijf verbroken en juridische stappen gezet om de domeinen en servers uit te schakelen waarmee het botnet werd aangestuurd.
De software maakte het internetadres van het toestel beschikbaar voor "residential proxy"-diensten. Klanten van die diensten huren zulke adressen om hun webverkeer te anonimiseren of hun echte locatie te verbergen. Het rapport stelt dat Videostrong de toegang verkocht aan criminele partners en hun schadelijke modules op de besmette toestellen installeerde. Die toestellen werden ook gebruikt voor advertentiefraude.
Het ging niet alleen om tv-boxen. Dezelfde malware werd ook aangetroffen in andere Android-toestellen, zoals telegezondheidstoestellen, karaokemachines en digitale signalisatiesystemen. Google zegt dat alle fabrikanten van Android-toestellen compatibiliteits- en veiligheidstests moeten doorstaan. Videostrong vond toch een manier om de software te laden meteen nadat een gebruiker het toestel voor het eerst opstartte. Volgens Google is die zwakke plek intussen aangepakt.
Het opruimen zou de toegang tot minstens 10 miljoen bijkomende besmette toestellen doorknippen, omdat de partners van Videostrong ook andere distributiekanalen hebben. Ben Brundage van het bedrijf Synthient, dat meewerkte aan de actie, noemt het cijfer van 1,3 miljoen "zeer conservatief". Volgens hem ligt het werkelijke aantal waarschijnlijk veel hoger.
Synthient onderzocht ook een populaire, vooraf besmette tv-box van het merk MECOOL, verkocht door het Chinese beursgenoteerde bedrijf Skyworth Technology. Volgens Synthient bevatte die box eveneens de malware van Videostrong. Die box werd razend populair nadat een bekend YouTube-kanaal er in 2023 over sprak. Dat kanaal heeft zijn video intussen aangepast en toont het product nu als oplichterij.
Wat dit voor uw bedrijf betekent
- Denk verder dan de woonkamer. De malware zat ook in telegezondheidstoestellen en digitale signalisatiesystemen. Dat zijn toestellen die ook in bedrijven kunnen staan.
- Een toestel kan al besmet zijn bij levering. Hier werd de malware door de fabrikant zelf meegeleverd. Een nieuw toestel is dus niet automatisch veilig.
- Wees voorzichtig met goedkope tv-boxen van onbekende merken. Volgens de bron winnen dergelijke boxen klanten vooral via influencers die (illegale) streamingdiensten voor een eenmalige prijs aanprijzen.
- Breng uw Android-toestellen in kaart. Synthient publiceerde een lijst van getroffen toestellen per modelnummer. Daarmee kan u nagaan of een toestel op uw netwerk erbij staat.
- Het onderzoek loopt door. Het exacte aantal besmette toestellen is niet bekend. Er kunnen er dus veel meer zijn dan de officiële cijfers.
Wilt u weten welke toestellen er op uw bedrijfsnetwerk hangen en of ze veilig zijn? Neem gerust contact op met NVIT, dan kijken we er samen naar.
Bron: Krebs on Security, 3 november 2026. Dit artikel is een samenvatting in eigen woorden; de situatie kan sindsdien gewijzigd zijn.
Foto: Justin Ormont via Wikimedia Commons (CC BY-SA 3.0)
