Het gaat vooral om Android-tv-boxen waarop de schadelijke software al tijdens de productie werd geïnstalleerd. Volgens onderzoek van Google zat de Chinese fabrikant Videostrong achter de verspreiding. De fabrikant zou een verborgen toegang tot de apparaten hebben ingebouwd, waarmee cybercriminelen later op afstand opdrachten konden uitvoeren.
De malware, die onderdeel uitmaakte van het zogenoemde XCPE-botnet, had vergaande mogelijkheden. Zo konden aanvallers ongemerkt applicaties installeren, gegevens verzamelen en het apparaat gebruiken voor frauduleuze advertentieactiviteiten. Ook konden ze de internetverbinding van het slachtoffer beschikbaar stellen aan andere criminelen, die daarmee hun eigen activiteiten konden verhullen.
Opvallend is dat sommige betrokken apparaten volgens het onderzoek zelfs een officiële Android TV-certificering hadden gekregen. De schadelijke software werd op zo'n manier toegevoegd dat deze tijdens de gebruikelijke controles niet werd opgemerkt. Google heeft inmiddels de samenwerking met Videostrong beëindigd en de certificeringsprocedures aangepast.
De besmettingen kwamen voor bij verschillende kleinere merken, waaronder MECOOL, Dreamstar en Showbox. Dat betekent overigens niet dat elk apparaat van deze merken automatisch besmet is. Google heeft samen met beveiligingsbedrijven en de Japanse politie de infrastructuur achter het botnet aangepakt. Daarmee kunnen de aanvallers de getroffen apparaten niet meer via die infrastructuur aansturen, maar de aanwezige malware is daarmee niet noodzakelijk verwijderd.
