Mehr als 1,3 Millionen Android-TV-Boxen haben heimlich fremden Datenverkehr weitergeleitet und Werbung abgerufen, die niemand sah. Die Hintertür dafür hat nach Googles Erkenntnissen der Hersteller Videostrong aus Shenzhen selbst in die Firmware eingebaut. Besitzer können sie nicht selbst entfernen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Google hat Ende Oktober zusammen mit der japanischen Nationalen Polizeibehörde und fünf Sicherheitsfirmen die Kontrollserver des XCPE-Botnetzes abgeschaltet und am 2. November die Hintergründe veröffentlicht.[1] Der Konzern sperrt Videostrong: Das Unternehmen darf keine zertifizierten Android-Geräte mehr bauen und keine Software an zertifizierte Hersteller liefern.
Das Wichtigste in Kürze
- Google ist sich sicher, dass Videostrong hinter dem Botnetz steckt, der Hersteller soll den Zugang an Kriminelle verkauft haben.
- Laut Google können die Täter mindestens zehn Millionen weitere Geräte nicht mehr steuern.
- In Deutschland zählte die Sicherheitsfirma TrendAI zwischen Juni und Oktober 26.000 bis 42.000 infizierte Geräte.
- Die Hintertür steckt in der Firmware und installiert sich nach dem Löschen beim Neustart wieder.
Wie kam die Hintertür an Googles Prüfung vorbei?
Die Systemanwendung x.cpe liegt ab Werk in der Firmware und läuft mit Systemrechten. Löscht ein Nutzer die App, spielt das Gerät sie beim Neustart aus einem eigenen Speicherbereich wieder ein. Über die App konnten die Betreiber Programme unbemerkt installieren, Google Play Protect abschalten und Bildschirmfotos aufnehmen.[1]
Durch Googles Zertifizierung kamen die Boxen trotzdem. Videostrong verschleierte laut Google seine Programme und lud den Schadcode erst nach dem ersten Start des Geräts nach. Google hat seine Prüfung inzwischen geändert.[1]
Den Zugang verkaufte Videostrong laut Google an kriminelle Partner, die eigene Module auf die Boxen luden. Die meisten machten die Geräte zu Proxy-Knoten: Kunden solcher Dienste leiten ihren Datenverkehr über den Anschluss eines fremden Haushalts und tauchen im Netz mit dessen IP-Adresse auf. Andere Module betrieben Werbebetrug. Neben TV-Boxen fand Google die Hintertür auf Geräten für die Telemedizin, Karaokeanlagen und digitalen Werbebildschirmen.[1]
Woher weiß Google, dass der Hersteller dahintersteckt?
Die Sicherheitsfirma Synthient kaufte eine Box der Marke Mecool, die sie Videostrong zuordnet, und fand die Hintertür vorinstalliert. Auf einem Server des Botnetzes lag laut Synthient in einem frei zugänglichen Verzeichnis ein Dokument, das der Entwicklungschef von Videostrong unterzeichnet hatte. Eine Website des Herstellers teilte sich eine IP-Adresse mit der Verwaltungsoberfläche der Betreiber, mehrere Apps sind mit einem Zertifikat signiert, das auf eine E-Mail-Adresse von Videostrong ausgestellt ist.[2] Einen einzelnen Täter im Unternehmen und einen Entwicklungsfehler schließt Google aus.[1] Eine öffentliche Stellungnahme von Videostrong war bis zum 5. November nicht zu finden.
Neu ist, dass ein zertifizierter Partner dahintersteht. Nach demselben Geschäftsmodell machte das Popa-Botnetz billige TV-Boxen ohne Googles Siegel zu Proxy-Knoten, im August traf eine ähnliche Schadsoftware Android-Autoradios.
Das Siegel von Google bewies nur, dass die Box beim ersten Start sauber war.
Markus Seyfferth, Chefredakteur Dr. Web
Was die Betreiber mit einer infizierten Box tun konnten
Was sollten Besitzer und Unternehmen jetzt tun?
Das BSI hat im Dezember 2024 bei bis zu 30.000 Geräten mit der Schadsoftware BadBox die Verbindung zu den Kontrollservern gekappt. Die Behörde warnte damals, dass die eigene IP-Adresse über solche Geräte mit Straftaten in Verbindung geraten kann.[4] Ab 11. Dezember 2027 gelten mit der EU-Cyberresilienz-Verordnung Sicherheitsanforderungen für vernetzte Geräte. Bis dahin liegt die Vorsorge bei den Käufern, drei Grundregeln helfen:
- Gleichen Sie TV-Boxen im Büro und im Homeoffice mit den 182 Modellnamen ab, die Synthient veröffentlicht hat.[2] Ein Treffer beweist keine Infektion. Verdächtige Boxen trennen Sie vom Netz und ersetzen sie durch Geräte von Herstellern auf Googles Partnerliste.
- Halten Sie Fernseher und Boxen im Heimnetz von Firmenrechnern getrennt, etwa über ein Gast-WLAN oder eine Hardware-Firewall. TrendAI rät, Firmenkonten nur auf verwalteten Dienstgeräten zu nutzen.[3]
- Sperren Sie die Domains der Kontrollserver, die Google veröffentlicht hat, im DNS-Filter.
Quellen
4 Quellen anzeigenQuellen ausblenden
- Google Threat Intelligence GroupShutting the Door on the XCPE Botnet
- SynthientThe Internals of a Badbox Operation, mit Liste der Gerätemodelle und Indikatoren
- TrendAITrendAI Research Helps Disrupt Botnet of More Than 1.3 Million Pre-Infected Set-Top Boxes
- Bundesamt für Sicherheit in der InformationstechnikBSI weist auf vorinstallierte Schadsoftware auf IoT-Geräten hin
Mehr Newshunger?
- Popa-Botnetz: Millionen TV-Boxen als heimliche Proxy-Knoten, Spur führt zu börsennotierter Firma
- Schadsoftware infiziert die Firmware von Android-Autoradios
- Lücke in Broadcoms WLAN-Software: Viele Router lassen sich per Funk übernehmen
- Cloudflare zählt dreimal so viele DDoS-Angriffe, fast alle enden nach zehn Minuten
- Cyberresilienz-Gesetz: BSI soll 141 Stellen bekommen, zwei Stichtage sind verstrichen
- Hacker stellen Kühlräume für Blutplasma in Frankreich auf 110 Grad
- Bösartige Bots: Wer hinter 40 Prozent des Webverkehrs steckt
