Google Tehdit İstihbaratı Grubu, "x.cpe" adıyla bilinen ve en yoğun döneminde 1,3 milyondan fazla Android TV cihazında çalışan devasa bir bot ağını kapattığını duyurdu. Şaşırtıcı olan nokta, etkilenen bu cihazların Google sertifikalı kutular olmasıydı. Üreticilerin Google uygulamalarına ve markasına erişim sağlamak için cihazlarını sertifikalandırması gerekiyor. Ancak çoğunlukla MECOOL markası altında satılan bu cihazların arkasındaki Shenzhen merkezli Videostrong Technology şirketinin, Google'ın denetim sürecini gizleme teknikleri kullanarak aştığı belirtildi.
Tehdit İstihbaratı Grubu'nun blog yazısındaki açıklamasına göre, x.cpe bot ağı tek aşamalı bir damlalık uygulamasından, üçüncü taraflara erişim satan modüler üç aşamalı bir zararlı yazılım platformuna hızla evrildi. Etkilenen kutular, tespit edilmekten kaçınmak için bir arka kapı kullanıyordu; cihazlar kurulup internete bağlandıktan sonra zararlı yazılım uzaktan yükleniyordu.
Çevrimiçi olan cihazlardaki "x.cpe" veya "com.oemservice" isimli bir taslak uygulama ana merkezle iletişim kuruyordu. Bu paketin doğrudan kendine ait zararlı yetenekleri yoktu, ancak operatörlerin komutuyla zararlı yazılım modüllerini indirmek için gerekli sistem düzeyindeki izinlere sahipti. Ayrıca Play Protect sistemini devre dışı bırakıyordu ve bu sayede sessizce yüklenen paketlerin zararlı olarak işaretlenmesini engelliyordu.