Google legt Botnetz aus 1,3 Millionen TV-Boxen lahm

Google hat Ende Oktober ein Botnetz aus mehr als 1,3 Millionen Android-Geräten, überwiegend TV-Set-Top-Boxen, von seinen Steuerungsservern getrennt. Nach Einschätzung von Google hat der Gerätehersteller Videostrong aus Shenzhen die Hintertür namens x.cpe mit hoher Wahrscheinlichkeit absichtlich in die Firmware eingebaut und den Zugang an Kriminelle verkauft. Einen einzelnen Mitarbeiter oder einen Fehler als Ursache hält Google für unwahrscheinlich. Videostrong stellt Android-TV-Boxen unter eigenem Namen und für andere Marken her. Ob sich das Unternehmen zu den Vorwürfen geäußert hat, geht aus den Berichten nicht hervor.

Google ließ auf dem Rechtsweg die Domains und Server des Botnetzes abschalten, ebenso die Steuerungsdomains von mehr als einem Dutzend Schadprogrammen, die über die Hintertür nachgeladen wurden. Beteiligt waren unter anderem die japanische Nationale Polizeibehörde, Lumen, HUMAN Security, Plume, Synthient und TrendAI. Da die Kriminellen ihre Schadsoftware auch über andere Wege verbreiten, erwartet Google, dass ihnen zusätzlich der Zugriff auf mindestens 10 Millionen weitere infizierte Geräte entzogen wird.

Werbebetrug und Residential Proxys

Die Hintertür läuft als Systemanwendung in der Firmware und schaltet vor der unbemerkten Installation von Software die App-Prüfungen von Google Play Protect ab. Über sie lassen sich Apps installieren, Befehle ausführen, Screenshots erstellen und das Heimnetz auskundschaften. Die meisten nachgeladenen Module verwandelten die Boxen in sogenannte Residential Proxys, über die Kunden ihren Datenverkehr über private Internetanschlüsse leiten, oder erzeugten gefälschte Werbeaufrufe. Neben TV-Boxen fand sich die Hintertür auch auf Geräten für Telemedizin, Karaoke-Maschinen und Digital-Signage-Systemen.

TrendAI zählte zwischen dem 3. Juni und dem 1. Oktober 1.472.554 infizierte Geräte in 206 Modellen. Am stärksten betroffen waren Malaysia, Brasilien, der Irak, Mexiko und Taiwan. In den USA, Deutschland, Großbritannien, Australien und Kanada waren es jeweils rund 26.000 bis 42.000 Geräte.

Entfernen kaum möglich

Da x.cpe Teil der Firmware ist, installiert sich die Hintertür nach einem Neustart erneut. Laut TrendAI erfordert eine Bereinigung Maßnahmen des Herstellers, Schutz auf Ebene der Plattform oder den Austausch des Geräts. Synthient rät Verbrauchern, betroffene Boxen zu entsorgen, und hat eine Liste mit 182 Modellnamen veröffentlicht, darunter vor allem Geräte der Marke MECOOL. Ein Modellname allein belegt jedoch keine Infektion. Unternehmen sollten nicht verwaltete Geräte im Heimnetz von Beschäftigten als Teil ihrer Angriffsfläche betrachten.

Google hat Videostrong und künftige Tochterfirmen davon ausgeschlossen, zertifizierte Android-Geräte zu bauen oder Software an andere Hersteller zu liefern. Das Unternehmen hatte laut Google seinen Code versteckt und erst nach dem ersten Start eines Geräts geladen, um eine Lücke in Googles Tests zu umgehen. Google hat seine Prüfverfahren inzwischen angepasst. Anders als beim Botnetz BadBox 2.0 im Jahr 2025 waren diesmal auch zertifizierte Geräte betroffen.

(red)