Google Threat Intelligence Groupは、深圳に本社を置くOEMのVideostrong Technologyが、Mecool KTIやホワイトラベルモデルを含む182種類のデバイスモデルに「XCPE」と呼ばれるモジュール式バックドアを組み込んでいたことを特定した。

このマルウェアは、デバイスの初回起動時にファームウェアの脆弱性を悪用してインストールされ、Google Play Protectを無効化することで認証テストをすり抜けていた。

感染デバイスは、広告詐欺、データ窃取、リモートシェルアクセスを提供するグローバルなボットネットに組み込まれ、サイバー犯罪組織が独自のモジュールを読み込める「マルチテナント」アーキテクチャを備えていた。