Gigantisches Android-Botnetz mit 1,8 Millionen Geräten entdeckt

Ende Oktober fiel Cloudflare in den Messdaten eine vermeintliche Website auf, die sich an die Spitze der weltweit meistaufgerufenen Domains setzte. Was hier zeitweise mehr Aufrufe als die Google-Suche bekam, entpuppte sich als Steuerungsserver eines Botnetzes.

Kimwolf infiziert unzertifizierte Systeme

Das System bildete den zentralen Punkt einer gigantischen Infrastruktur, die mindestens 1,8 Millionen Android-Geräte unter Kontrolle hatte. Das Netzwerk trägt den Namen "Kimwolf" und gilt nach Einschätzung von Sicherheitsexperten als das bislang größte bekannte Android-Botnetz, berichtete das US-Magazin Toms Guide.

Es baut auf ähnlichem Code wie der frühere Rekordhalter "Aisuru" auf, wurde jedoch weiterentwickelt, um schwerer entdeckt zu werden. Die Schadsoftware gelangt über manipulierte APK-Dateien auf die Geräte und startet automatisch im Hintergrund. Einmal infiziert, können die Smartphones, Tablets oder TV-Boxen für verschiedenste kriminelle Zwecke missbraucht werden, etwa für DDoS-Angriffe, bei denen Server mit Anfragen überflutet und lahmgelegt werden.


Besonders gefährlich ist eine integrierte Reverse-Shell-Funktion. Sie verschafft den Angreifern direkten Kommandozeilenzugriff auf die betroffenen Geräte. So können sie weitere Schadprogramme nachladen, Dateien verändern oder beliebige Befehle ausführen. Zusätzlich dient das Botnetz als riesiger Proxy-Dienst, über den die Täter ihre wahre Herkunft verschleiern und IP-Sperren umgehen können.

Augen auf beim Kauf

Forschern des Sicherheitsunternehmens Xlab gelang es, in die Infrastruktur von Kimwolf einzudringen und deren Ausmaß zu analysieren. Demnach richtet sich das Botnetz vor allem gegen Android-Geräte ohne Google-Zertifizierung, etwa günstige No-Name-TV-Boxen oder Tablets, die auf AOSP basieren und keine offiziellen Google-Schutzmechanismen besitzen. Viele der infizierten Geräte stehen in privaten Haushalten. Die meisten IP-Adressen wurden in Brasilien, Indien und den USA gefunden, doch insgesamt sind Systeme in mehr als 220 Ländern und Regionen betroffen.

Experten raten Nutzern dringend, beim Kauf von Android-Geräten auf eine offizielle Play-Protect-Zertifizierung zu achten und Billigprodukte unbekannter Hersteller zu meiden. Ebenso wichtig sind starke Passwörter, regelmäßige Firmware-Updates und das Installieren von Apps ausschließlich aus vertrauenswürdigen Quellen wie dem Google Play Store. Das sogenannte Sideloading sollte möglichst vermieden werden.

Siehe auch: