El Grupo de Inteligencia de Amenazas de Google identificó que Videostrong Technology, una empresa de fabricación de dispositivos basada en Shenzhen, había integrado un módulo denominado XCPE en 182 modelos diferentes de dispositivos, incluyendo marcas como Mecool KTI y productos con etiquetas blancas.
Este software malicioso se activaba al encender los dispositivos y aprovechaba un fallo de seguridad en el firmware para desactivar Google Play Protect, evitando así los controles de certificación.
Los dispositivos infectados fueron incorporados a una red global de botnet, permitiendo a grupos de ciberdelincuentes realizar fraudes publicitarios, robar datos y acceder remota al sistema, además de permitir la instalación de módulos personalizados por parte de los mismos grupos de ciberdelincuentes.