Millionen Android-TV-Boxen durch Android-OEM zum Botnetz vereint

Rund 1,3 Millionen Android-TV-Boxen wurden von einem offiziellen Android-OEM gekapert und in einem Botnetz zusammengeschlossen. Sicherheitsexperten ist es jetzt gelungen, diese Infrastruktur außer Betrieb zu nehmen.

Google kappt Verbindungen zu Videostrong

Google hat gemeinsam mit Sicherheitsexperten ein Botnetz aus mehr als 1,3 Millionen Android-TV-Boxen zerschlagen. Die Geräte stellten unbemerkt von den Besitzern ihre Internetverbindungen für kriminelle Zwecke zur Verfügung und ermöglichten unter anderem Werbebetrug. Nach Einschätzung der beteiligten Experten dürfte die Aktion auch den Zugriff auf mindestens zehn Millionen weitere kompromittierte Geräte unterbrechen.

Wie die Google Threat Intelligence Group (GTIG) berichtet, steckt hinter dem Botnetz namens XCPE der chinesische Hersteller Videostrong Technology. Google hat die Zusammenarbeit mit dem Unternehmen beendet und rechtliche Schritte eingeleitet, um dessen Kontrollserver und Domains stillzulegen. Über diese Infrastruktur konnte Videostrong die infizierten Geräte steuern und zusätzliche Schadsoftware installieren.


Die Malware machte die Internetanschlüsse der Nutzer zu sogenannten Residential Proxies. Dabei wird die IP-Adresse eines privaten Internetanschlusses an Dritte vermietet, die darüber ihre eigene Internetaktivität verschleiern oder einen anderen Standort vortäuschen können. Solche Dienste werden unter anderem für Accountübernahmen, massenhaften Datenabruf und Werbebetrug missbraucht.

Besonders schwer wiegt der Vorwurf, dass Videostrong die Hintertür gezielt eingebaut und den Zugang zu den infizierten Geräten an kriminelle Partner verkauft haben soll. Deren Schadsoftware konnte anschließend ebenfalls auf den Geräten landen. Google bezeichnet ein solches Vorgehen durch einen Gerätehersteller als gravierenden Vertrauensbruch und Sicherheitsrisiko.

Basis vieler Schwarzmarkt-Dienste

Die XCPE-Malware fand sich auch auf anderen Android-basierten Geräten, darunter Telemedizin-Systemen, Karaoke-Anlagen und digitalen Werbetafeln. Google zufolge gelang es Videostrong, die Schadsoftware bereits beim ersten Einschalten der Geräte zu installieren. Eine entsprechende Sicherheitslücke habe der Konzern inzwischen geschlossen.

Zu den mit dem Botnetz verbundenen Proxy-Anbietern zählen unter anderem Honeygain beziehungsweise AppSalt, NetNut, EarnFM und Traffmonetizer. Auch weitere Dienste sollen Komponenten auf den infizierten Geräten verbreitet haben. Der Sicherheitsdienstleister Synthient untersuchte zudem TV-Boxen der Marke MeCool des chinesischen Herstellers Skyworth Technology. Auch diese Geräte sollen mit Videostrongs Schadsoftware sowie Proxy-Komponenten ausgeliefert worden sein.

Synthient-Gründer Ben Brundage hält die von Google genannte Zahl von 1,3 Millionen betroffenen Geräten für eine konservative Schätzung. Das Ausmaß dürfte deutlich größer sein. Die Zerschlagung sei wahrscheinlich die bislang umfangreichste Aktion gegen manipulierte TV-Boxen dieser Art.

Siehe auch: