Takedown eines Android botnet lässt backdoor in TV-Boxen intakt
Ein Android botnet, ein Netzwerk kompromittierter und ferngesteuerter Geräte, verlor bei einem von Google geleiteten Takedown Ende Oktober den Zugriff auf Server, die mehr als 1,3 Millionen Geräte steuerten. Die meisten betroffenen Geräte waren Android-TV-Set-Top-Boxen, dieselbe backdoor wurde jedoch auch in Telemedizin-Geräten, Karaoke-Maschinen und digitalen Anzeigetafeln gefunden.
Google erklärt, mit hoher Sicherheit davon auszugehen, dass der in Shenzhen ansässige Gerätehersteller Videostrong die backdoor namens x.cpe absichtlich in seinen Produkten platzierte und Kriminellen den Zugriff darauf verkaufte. Eine backdoor ist ein verborgener Weg, um ohne Erlaubnis des Besitzers auf ein Gerät zuzugreifen oder es zu kontrollieren. Videostrong stellt Android-TV-Boxen und andere Geräte unter eigenem Namen sowie für andere Marken her. Google geht davon aus, dass der Code über mehrere Jahre hinweg in zahlreiche Modelle und Marken eingebettet wurde und nicht versehentlich oder durch einen abtrünnigen Mitarbeiter hineingelangte.
Bei der Operation wurden rechtliche Schritte genutzt, um die Domains und Server zu beschlagnahmen oder zu deaktivieren, die das botnet kontrollierten. Google schaltete außerdem Kontrolldomains ab, die mit mehr als einem Dutzend malware families verbunden waren, also verwandten Gruppen schädlicher Software, die über x.cpe installiert wurden. Japans National Police Agency, Lumen, HUMAN Security, Plume, Synthient und TrendAI beteiligten sich an der Operation. Da die Kriminellen dieselbe malware auch über andere Wege verbreiteten, erwartet Google, dass die Störung ihnen den Zugriff auf mindestens 10 Millionen weitere infizierte Geräte entzieht. Das Unternehmen warnte, dass Anbieter von backdoors und ihre kriminellen Kunden ihre Werkzeuge schnell wechseln können, nachdem die Infrastruktur deaktiviert wurde.
Google hat seine Geschäftsbeziehung mit Videostrong beendet. Das Unternehmen sowie künftige Tochtergesellschaften und verbundene Unternehmen dürfen keine zertifizierten Android-Geräte mehr herstellen oder verkaufen und anderen zertifizierten Herstellern keine Software mehr bereitstellen.
X.cpe arbeitet innerhalb der firmware, also der eingebauten Software, die ein Gerät startet und steuert, als System-App mit erweiterten Zugriffsrechten. Sie nimmt Kontakt zu command-and-control servers auf, die auch als C2 servers bezeichnet werden und Anweisungen an infizierte Geräte senden. Bevor die backdoor unbemerkt Software installiert, deaktiviert sie Prüfungen durch Google Play Protect, die integrierte Sicherheitsfunktion von Android.
Laut Googles Analyse konnten die Betreiber Apps installieren, ohne den Besitzer zu benachrichtigen, Befehle ausführen, den Bildschirm erfassen und andere Geräte im selben Netzwerk erfassen. Google zufolge wurde beobachtet, wie die Betreiber Live-Screenshots aufnahmen, Tastatureingaben übermittelten, Kontodaten, Geräteinformationen, Listen installierter Apps und Systemprotokolle auslasen sowie reverse shells öffneten. Eine reverse shell stellt einem entfernten Betreiber eine Befehlszeile zur Verfügung, über die das Gerät gesteuert werden kann.
Die meisten modules, also über die backdoor ausgelieferte Zusatzprogramme, verwandelten die Boxen in residential proxies oder verkauften deren ungenutzte Bandbreite. Ein residential proxy leitet den Datenverkehr einer anderen Person über den Internetanschluss eines Haushalts, sodass diese Aktivität aus einem gewöhnlichen Privathaushalt zu stammen scheint. Andere modules erzeugten betrügerische Aufrufe von Onlinewerbung. Dadurch konnten die Internetverbindungen der Besitzer ohne deren Wissen für fremden Datenverkehr und Anzeigenbetrug genutzt werden.
TrendAI, die Geschäftskundensparte von Trend Micro, zählte vom 3. Juni bis zum 1. Oktober 1.472.554 infizierte Geräte aus 206 Modellen und erklärte, dass die tatsächliche Gesamtzahl mindestens ebenso hoch sei. Malaysia, Brasilien, der Irak, Mexiko und Taiwan verzeichneten die höchsten Zahlen. In den Vereinigten Staaten, Deutschland, dem Vereinigten Königreich, Australien und Kanada gab es jeweils ungefähr 26.000 bis 42.000 betroffene Geräte.
Synthient veröffentlichte die Namen von 182 Gerätemodellen, die während der Kampagne beobachtet wurden, betonte jedoch, dass ein übereinstimmender Modellname allein keine Infektion belegt. Die Untersuchung konzentrierte sich auf Boxen der Marke MECOOL, die mit Videostrong in Verbindung stehen. Synthient kaufte eine MECOOL KM9PRO Max und stellte fest, dass x.cpe bereits installiert war. Plume identifizierte unabhängig davon mehr als ein Dutzend Gerätetypen, die mit dem Kontrollserver des botnet kommunizierten; die meisten trugen die Marke MECOOL.
Das Entfernen von x.cpe ist schwierig, da es Teil der firmware ist und nach einem Neustart zurückkehrt. Laut TrendAI läuft es als System-App, die mit dem Schlüssel des Herstellers signiert ist. Damit bleiben ein Eingreifen des Anbieters, Schutz auf Plattformebene oder der Austausch des Geräts als verfügbare Bereinigungsmöglichkeiten. Plume empfiehlt einen vollständigen factory reset, da heruntergeladene modules möglicherweise weitere backdoors hinzugefügt haben, erklärt jedoch nicht, dass ein Reset x.cpe entfernt. Synthient rät Verbrauchern, betroffene Boxen wegen des malware-Risikos vom Netz zu trennen und dauerhaft zu entsorgen.
Für Organisationen empfiehlt Synthient, seine veröffentlichten indicators, also technische Anzeichen für eine Kompromittierung, zu verwenden, um MECOOL- und ähnliche Geräte aufzuspüren, gefundene Geräte vom Netz zu trennen und zu entsorgen sowie die aufgeführten Kontrolldomains und IP-Adressen zu blockieren. Außerdem wird empfohlen, andere Smart-Geräte in separaten network segments unterzubringen, also in isolierten Bereichen eines Netzwerks, die von sensiblen Systemen getrennt sind. TrendAI rät Arbeitgebern mit Beschäftigten im Homeoffice, nicht verwaltete Verbrauchergeräte in Heimnetzwerken als Teil ihrer attack surface zu betrachten, also als Teil der Gesamtheit von Geräten und Verbindungen, die einen Zugangsweg zu Unternehmensressourcen bieten könnten, und den Unternehmenszugriff auf verwaltete Geräte zu beschränken.
Google brachte x.cpe mit anderer Software von Videostrong in Verbindung, da die backdoor Einstellungen von ihrem C2 server an Apps weitergibt, darunter die Streaming-Anwendung YokaTV Player. Ein GitHub-Konto, über das botnet-Pakete bereitgestellt wurden, trug den Namen yf-videostrong. Auch Synthient kam mit hoher Sicherheit zu der Einschätzung, dass Videostrong das System betrieb, und verwies auf ein vom Forschungs- und Entwicklungsleiter des Unternehmens unterzeichnetes Dokument in einem öffentlich zugänglichen Ordner auf einem botnet server. Zudem fand Synthient eine Domain von Videostrong, die sich eine IP-Adresse mit dem Control Panel der Betreiber teilte. Plume stellte fest, dass das Unternehmen sowohl Geräte-firmware als auch Werkzeuge für das Remote Management bereitstellte.
Der Vorfall offenbarte außerdem eine Schwachstelle bei der Zulassung von Android-Geräten. Google verlangt von Herstellern, Kompatibilitäts- und Sicherheitstests abzuschließen, erklärt jedoch, Videostrong habe seinen Code verborgen, um eine Lücke in diesen Prüfungen auszunutzen, und die schädliche Komponente nach dem ersten Start eines Geräts installiert. Google hat sein Prüfverfahren inzwischen geändert und verstärkt die firmware-Prüfungen für zertifizierte Android-TV-Geräte. Am 2. November führte die Website von Videostrong weiterhin Produkte auf, die als zertifizierte Android-TV-Boxen und -Sticks beschrieben wurden.
Plume fand im botnet sowohl von Google zertifizierte Geräte als auch Produkte, auf denen das Android Open Source Project (AOSP), die frei verfügbare Grundlage von Android, lief. Google teilte nicht mit, wie viele zertifizierte Geräte betroffen waren. Dies unterscheidet sich vom botnet BadBox 2.0, um das es in Googles Klage vom Juli 2025 ging und dessen mehr als 10 Millionen Geräte nicht zertifiziert waren.
Für Unternehmen, die mit umfassenderen Geräte- und Netzwerkrisiken umgehen müssen, bietet AEU-I sicherheitsorientierte IT, Infrastruktur und Beratung an. Für betroffene Besitzer bleibt die zentrale Einschränkung jedoch physisch und unmittelbar: Die Abschaltung der botnet servers unterbrach die Kontrolle, entfernte x.cpe aber nicht von den Boxen selbst.