谷歌与业界伙伴瓦解了由 130 多万台 Android 电视流媒体盒组成的 XCPE 僵尸网络。谷歌称，设备制造商是有意在设备中植入恶意软件，以此牟利。据 BleepingComputer 和 The Verge 报道，谷歌已与这家制造商断绝合作，并禁止其生产认证 Android 设备。
谷歌威胁情报小组（GTIG）在周一发布的报告中称，有「高度确信」认为，该后门和僵尸网络是由深圳的 Videostrong Technology Co. 为牟利而有意开发、部署和运营的。
据 The Verge 引述谷歌的说法，Videostrong 通过向犯罪团伙出售访问权获利。这些团伙在受感染设备上加载自己的恶意模块，用于广告欺诈、把设备接入住宅代理网络，以及安装其他恶意软件。
谷歌称，这一恶意软件「多年来直接内置在许多不同型号和品牌的设备中」。受影响设备多为 Android TV 机顶盒，另有远程医疗、卡拉 OK 和数字标牌等基于安卓的物联网设备。
BleepingComputer 列出的后门能力包括：
谷歌称，此次行动打掉了十多个相关恶意软件家族所用的 XCPE 控制服务器，并切断了至少 1000 万台其他受感染设备的访问。这些设备是经 XCPE 以外的途径感染的，包括零售机顶盒、卡拉 OK 机和远程医疗设备，谷歌表示并非都是 Android 设备。
行动参与方包括日本警察厅，以及 Lumen、HUMAN Security、Plume、Synthient 和 TrendAI。
对 Videostrong，谷歌采取了以下措施：
谷歌还说，发现 Videostrong 用混淆手段躲避安全测试，并在设备首次启动后才加载恶意代码，因此已修改认证审查流程。
安全公司 Synthient 在另一份协同发布的报告中说明了溯源过程。该公司在 2025 年底购入一台 MECOOL KM9PRO Max 电视盒，发现其中预装了恶意软件，随后将 XCPE 后门与相关基础设施追溯到 Videostrong。Synthient 还发现，Videostrong 的多个公司邮箱曾被用于给后门签名。
BleepingComputer 指出，行动扰乱了 XCPE 的运作，但恶意软件并未从受感染设备上移除，即使被删除，也会从 /oem/ 分区自动重装。报道称，用户需要刷入干净的固件，或者断开设备的网络连接。BleepingComputer 表示已就该僵尸网络向谷歌提出更多问题。
