Wie een goedkoop Android-tv-kastje koopt om streamingdiensten op zijn televisie te gebruiken, verwacht natuurlijk niet dat het apparaat al bij het uitpakken besmet is met malware. Toch blijkt dat bij een groot aantal apparaten het geval te zijn geweest. Google heeft een omvangrijk netwerk van besmette Android-apparaten uitgeschakeld, waarbij volgens het bedrijf meer dan 1,3 miljoen toestellen betrokken waren.

Het gaat vooral om Android-tv-boxen waarop de schadelijke software al tijdens de productie werd geïnstalleerd. Volgens onderzoek van Google zat de Chinese fabrikant Videostrong achter de verspreiding. De fabrikant zou een verborgen toegang tot de apparaten hebben ingebouwd, waarmee cybercriminelen later op afstand opdrachten konden uitvoeren.

De malware, die onderdeel uitmaakte van het zogenoemde XCPE-botnet, had vergaande mogelijkheden. Zo konden aanvallers ongemerkt applicaties installeren, gegevens verzamelen en het apparaat gebruiken voor frauduleuze advertentieactiviteiten. Ook konden ze de internetverbinding van het slachtoffer beschikbaar stellen aan andere criminelen, die daarmee hun eigen activiteiten konden verhullen.

Opvallend is dat sommige betrokken apparaten volgens het onderzoek zelfs een officiële Android TV-certificering hadden gekregen. De schadelijke software werd op zo'n manier toegevoegd dat deze tijdens de gebruikelijke controles niet werd opgemerkt. Google heeft inmiddels de samenwerking met Videostrong beëindigd en de certificeringsprocedures aangepast.