Google Takes Down XCPE Botnet: 1.3 Million Android Devices Exposed to Hidden Malware

Imagine buying an Android TV box to stream movies, watch television, or enjoy your favorite applications — only to discover that the device has secretly been participating in a criminal network without your knowledge.

That is exactly what happened in the XCPE botnet investigation.

Google and its cybersecurity partners have dismantled a massive Android-based botnet involving more than 1.3 million compromised devices, exposing a concerning case of malware embedded directly into consumer hardware.

The investigation revealed that the threat was not simply caused by users downloading malicious applications. Instead, the malware was reportedly built into device firmware by a manufacturer, turning ordinary connected devices into infrastructure for cybercriminal operations.

Here is everything you need to know about the XCPE botnet, how it operated, and what consumers should do to protect themselves.

What Is the XCPE Botnet?

The XCPE botnet is a network of compromised Android devices controlled through a hidden backdoor known as x.cpe.

According to Google Threat Intelligence Group, the backdoor was associated with Videostrong Technology Co., an Android Original Equipment Manufacturer (OEM) and Original Design Manufacturer (ODM).

Google assessed with high confidence that Videostrong intentionally developed, deployed, and operated the backdoor for financial gain.

The malware was reportedly preinstalled into firmware across multiple device models and brands, allowing infected devices to become part of a remotely controlled network.

The investigation identified more than 1.3 million enrolled set-top boxes, alongside additional Android-based IoT devices such as telehealth equipment, karaoke machines, and digital signage systems.

How Did the XCPE Malware Infect Devices?

One of the most concerning aspects of the XCPE campaign is that users did not necessarily need to install a suspicious application to become infected.

The malware was integrated into the device's firmware before the product reached consumers.

A Backdoor That Survived Uninstallation

The primary malware component, x.cpe, operated with Android system-level privileges.

It was designed to maintain persistence even if users attempted to remove it.

The malware could reinstall itself after a reboot because another copy remained in the device's OEM partition.

This meant ordinary application removal was not enough to eliminate the infection.

A Hidden Loader That Installed Additional Malware

The XCPE backdoor communicated with another component called com.abc.nexus, which acted as a loader and execution engine.

This component managed additional malware modules, allowing operators to change what infected devices were doing over time.

Google's investigation found that newer versions also evolved toward more specialized malware droppers designed to install individual malicious components.

What Were Criminals Doing With These Devices?

The XCPE botnet was not simply collecting infected devices for display.

It was being monetized through several criminal activities.

1. Residential Proxy Networks

One of the primary uses was turning infected devices into residential proxy exit nodes.

A residential proxy routes internet traffic through an ordinary residential IP address.

Criminal operators could use compromised devices to route their traffic through unsuspecting users' internet connections.

This can make malicious activity appear to originate from legitimate residential networks, complicating detection and investigation.

2. Advertising Fraud

Some malware modules generated fraudulent advertising activity.

They could simulate advertisement impressions, clicks, or user interactions without legitimate users actually viewing or interacting with advertisements.

This allowed operators to generate fraudulent revenue while consuming device resources and network bandwidth.

3. Remote Device Control

The malware infrastructure supported powerful remote-control capabilities.

Google observed operators performing activities such as:

• Silently installing applications.
• Executing shell commands.
• Capturing device screenshots.
• Injecting keystrokes.
• Collecting account and device information.
• Extracting system logs.
• Conducting network reconnaissance.
• Establishing reverse shells.

These capabilities created serious privacy and security risks for affected users.

4. Installing Additional Backdoors

Some modules could download and execute additional malware.

This created a flexible ecosystem where compromised devices could become platforms for multiple criminal operations simultaneously.

How Google Disrupted the XCPE Botnet

Google worked alongside several industry and law-enforcement partners to disrupt the infrastructure behind the campaign.

The collaboration included Japan's National Police Agency, Lumen, HUMAN Security, Plume, Synthient, and TrendAI.

Google reported taking several actions:

• Legal action to take down domains and servers used to control the botnet.
• Disruption of command-and-control domains associated with more than a dozen malware families.
• Banning Videostrong and its future subsidiaries or affiliates from producing certified Android devices or supplying software to certified vendors.
• Improvements to security reviews for Android TV firmware.

Google also reported that disruption of affiliate command-and-control infrastructure could sever access to at least 10 million additional compromised devices.

Importantly, Google emphasized that disrupting the infrastructure does not necessarily eliminate every infected device or permanently end the criminal ecosystem.

Why This Incident Is Different From Ordinary Android Malware

Traditional Android malware often spreads through malicious applications, phishing campaigns, or unofficial downloads.

XCPE highlights a different and particularly dangerous scenario: the device itself may arrive compromised from the manufacturer.

Consumers typically assume that a newly purchased television box or streaming device is trustworthy.

However, when malware is integrated into firmware, users may have limited visibility into its existence and few practical ways to remove it.

This makes hardware supply-chain security just as important as application security.

The incident also demonstrates how manufacturers, distributors, retailers, and third-party software providers can influence the security of consumer devices.

How Can You Protect Yourself From Similar Threats?

The XCPE investigation provides several practical lessons for Android TV and IoT users.

Buy Connected Devices From Reputable Manufacturers

Avoid unknown streaming boxes with suspiciously low prices, unclear firmware origins, or no meaningful manufacturer support.

Prefer devices from established manufacturers and verify whether they are supported by the official Android TV or Google TV ecosystem.

Avoid Applications Offering Money for Internet Bandwidth

Be extremely cautious with applications that promise earnings by sharing unused internet bandwidth or turning your device into a residential proxy.

Such applications may expose your network to risks, particularly if consent and network-routing behavior are unclear.

Keep Google Play Protect Enabled

If your Android device supports Google Play Protect, keep it enabled.

However, remember that Play Protect is not a guaranteed solution against malware embedded into system firmware.

Review VPN and Proxy Permissions

Only install VPN and proxy applications from providers you trust.

Understand whether the application routes your traffic, shares bandwidth, or allows third parties to use your network connection.

Replace Devices That Cannot Be Trusted

If you discover that your device is compromised at the firmware level and the manufacturer cannot provide a trustworthy security update, replacing it with a reputable supported device may be the safest option.

A factory reset may not remove firmware-level malware.

The Bigger Lesson: Hardware Security Cannot Be Ignored

The XCPE botnet demonstrates that cybersecurity threats are increasingly moving beyond traditional computers and smartphones.

Smart TVs, streaming boxes, IoT devices, and connected appliances can all become valuable targets for attackers.

Manufacturers must treat firmware security as a fundamental responsibility rather than an optional feature.

Consumers also need better transparency regarding device origins, security updates, and third-party software components.

Google's disruption is a significant step toward limiting the XCPE ecosystem, but the broader challenge remains.

As connected devices become more common, securing the hardware supply chain will become increasingly important.

Final Thoughts

The XCPE botnet is a powerful reminder that a device can look completely normal while operating as part of a hidden criminal network.

More than 1.3 million Android set-top boxes were reportedly enrolled into this ecosystem, with malware capabilities extending from advertising fraud to remote device control and residential proxy operations.

Google's investigation and disruption efforts represent an important development in protecting consumers from firmware-level threats.

But the incident also raises a larger question:

How can consumers trust connected devices when the software inside them may already be compromised before they are purchased?

The answer will require stronger manufacturer accountability, better security testing, transparent firmware practices, and continued collaboration across the cybersecurity industry.

Source: Google Threat Intelligence Group – Shutting the Door on the XCPE Botnet, November 2, 2026.