Google zerschlägt Botnetz, das in 1,3 Millionen Android-TV-Boxen steckte
Kurz gesagt: Googles Threat Intelligence Group hat XCPE abgeschaltet, ein Netz in der Firmware zertifizierter TV-Boxen, das laut den Ermittlungen der Hersteller selbst aufgebaut haben soll, um Geld zu verdienen.
Googles Threat Intelligence Group (GTIG) hat am 2. November bekanntgegeben, XCPE zerschlagen zu haben, ein Botnetz, das in mehr als 1,3 Millionen Android-TV-Boxen steckte, darunter auch Geräte mit Google-Zertifizierung. Laut den Ermittlungen hat der chinesische Hersteller Videostrong Technology es absichtlich entwickelt und betrieben, um Geld zu verdienen.
So funktionierte es von innen
Der Code war ab Werk in der Firmware installiert, mit Systemrechten (der höchsten Android-Stufe) und Namen wie x.cpe oder com.oemservice. Wer ihn löschte, bekam ihn beim Neustart automatisch aus der Partition /oem/ zurück. Außerdem schaltete er Google Play Protect ab, bevor er weitere Module lud, und erhielt Befehle über eine dauerhafte MQTT-Verbindung.
Was die Angreifer tun konnten
Mit dieser offenen Tür konnten sie unbemerkt Apps installieren, Befehle mit Administratorrechten ausführen, das Heimnetz kartieren, den Bildschirm mitschneiden, Tastendrücke simulieren und eine Remote-Shell auf dem Gerät öffnen.
Wie sie Geld verdienten
Videostrong verkaufte den Zugang an andere Kriminelle, die eigene Module luden. Manche nutzten die Internetverbindung der Besitzer als Ausgang für fremden Datenverkehr (sogenannte Residential Proxys); andere betrieben Werbebetrug mit unsichtbaren Apps, die gefälschte Impressionen sendeten. Google fand bis zu drei Proxy-Programme auf einem einzigen Gerät, und derselbe Code tauchte auch in Telemedizin-Geräten, Karaoke-Anlagen und digitaler Beschilderung auf.
Was Google getan hat
Google ging juristisch gegen die Domains und Server vor, mit denen Videostrong das Netz steuerte, sowie gegen die von mehr als einem Dutzend Malware-Familien, die über diese Tür geladen wurden. Außerdem untersagte es Videostrong und künftigen Tochterfirmen, zertifizierte Geräte zu bauen oder zu verkaufen, und änderte die Prüfung der Firmware zertifizierter Android-TV-Geräte. Google räumte ein, dass der verschleierte Code erst nach dem ersten Start geladen wurde und so die Tests umging.
Die Aktion lief gemeinsam mit der japanischen Nationalen Polizeibehörde, Lumen, HUMAN Security, Plume, Synthient und TrendAI. Google schätzt zudem, dass mindestens 10 Millionen weitere Geräte, die durch Module von Partnern infiziert wurden, nach dem Ausfall dieser Server die Fernsteuerung verlieren könnten; das ist seine eigene Schätzung, und nicht alle stammen von XCPE. Die veröffentlichte Karte zeigt Geräte auf fast allen Kontinenten, mit Brasilien und Südostasien unter den stärker markierten Regionen.
Was zu tun ist
Google versichert, dass die betroffenen Geräte nach der Zerschlagung des Netzes wieder sicher nutzbar sein sollten. Trotzdem empfiehlt es, vernetzte Geräte nur von bekannten Marken zu kaufen (und die Liste zertifizierter Partner zu prüfen), Apps nur aus vertrauenswürdigen Stores zu installieren, Play Protect eingeschaltet zu lassen und Apps zu misstrauen, die dafür zahlen, dass man sein Internet «teilt» oder «ungenutzte Bandbreite» abgibt – der Hauptweg, auf dem solche illegalen Netze wachsen.
Wenn du eine TV-Box oder einen Android TV hast und unsicher bist, ist jetzt ein guter Zeitpunkt zu prüfen, woher sie stammt und welche Apps installiert sind. Bei MBTECNIC verfolgen wir solche Nachrichten genau, denn die Sicherheit der Geräte, die du täglich nutzt, gehört auch zur Pflege deiner Technik.
