Millionen Android-Geräte für gigantisches Proxy-Netzwerk missbraucht

Googles Sicherheitsforscher sind auf seltsame Datenströme ge­sto­ßen, die vor allem auf Android-Smartphones, aber auch anderen Geräten auffielen. Dies endete in der Zerschlagung eines riesigen Residential-Proxy-Netzwerks.

Seltsamer Datenverkehr

Auf dem Radar der Experten tauchten erst Datenströme auf, die sich nicht wie klassische Schadsoftware verhielten. Statt gezielter Angriffe zeigte sich ein Muster, das eher an ein gigantisches Weiterleitungsnetz erinnerte: Millionen privat genutzter Smartphones, Computer und Smart-Home-Geräte transportierten unbemerkt fremden Internetverkehr. Nach Angaben Googles führte die Spur zu einem chinesischen Unternehmen namens Ipidea.

Die Entdeckung mündete in das, was der Konzern als größte Zerschlagung eines sogenannten Residential-Proxy-Netzwerks bezeichnet. Auf Grundlage einer richterlichen Anordnung ließ Google die zentralen Domains und Server abschalten, über die das System gesteuert wurde. Mit einem Schlag verschwand ein Netzwerk, das jahrelang aktiv gewesen war, ohne dass die meisten Betroffenen davon wussten.


Das Geschäftsmodell von IPIDEA war unscheinbar: Das Unternehmen integrierte spezielle Softwarebausteine in Hunderte scheinbar harmloser Apps und Programme, darunter kostenlose Spiele, Tools oder Produktivitätsanwendungen. Wer diese installierte, verwandelte sein Gerät ungewollt in einen sogenannten Exit-Knoten. Über diese privaten Anschlüsse konnte anschließend der Datenverkehr Dritter geleitet werden.

Über 9 Millionen Smartphones

Solche Proxys sind nicht grundsätzlich illegal. Seriöse Anbieter nutzen sie etwa für Datenschutzdienste oder Softwaretests. Im Fall von IPIDEA jedoch wurden private Geräte als Tarnung für massiven Datenverkehr eingesetzt. Google schätzt, dass zeitweise mehr als neun Millionen Android-Smartphones Teil des Systems waren. Insgesamt identifizierten die Forscher über 600 Apps, die entsprechende Funktionen enthielten.

Ipidea erklärte gegenüber dem Wall Street Journal, man habe legitime Geschäftsziele verfolgt. Googles Analyse zeigt jedoch, wie schnell solche Infrastrukturen missbraucht werden können. Bereits im letzten Jahr nutzten Angreifer eine Sicherheitslücke, um die Kontrolle über das Netzwerk zu übernehmen. Die kompromittierte Infrastruktur wurde unter dem Namen Kimwolf für DDoS-Attacken eingesetzt.

Technisch handelte es sich trotzdem nicht um klassische Malware. Die Software nutzte reguläre Android-Berechtigungen, was die Erkennung erschwerte. Erst das ungewöhnlich hohe Datenaufkommen über private IP-Adressen machte die Forscher stutzig.

Siehe auch: