Android TV: 1,3 Millionen Geräte ab Werk verseucht

Mehr als 1,3 Millionen Android-basierte Geräte wurden ohne Wissen ihrer Besitzer für kriminelle Geschäfte genutzt. Die Ermittlungen führen zu einem Hersteller, der bislang zu Googles zertifizierten Android-Partnern gehörte. Inzwischen hat der Konzern die Zusammenarbeit beendet.

Schadsoftware bereits ab Werk installiert

Die Untersuchungen der Google Threat Intelligence Group belasten den chinesischen Hersteller Videostrong Technology schwer. Das Unternehmen soll über mehrere Jahre hinweg Android-Geräte mit einer Hintertür namens X.CPE ausgestattet und den Zugriff anschließend an kriminelle Partner verkauft haben. Dass lediglich ein einzelner Mitarbeiter verantwortlich war oder die Schadsoftware versehentlich in die Firmware gelangte, schließen die Sicherheitsforscher als Erklärung weitgehend aus.

Videostrong gehörte bislang zu Googles zertifizierten Android-Herstellern. Deren Produkte müssen Kompatibilitäts- und Sicherheitsprüfungen durchlaufen, bevor sie mit vorinstallierten Google-Diensten ausgeliefert werden dürfen. Videostrong soll diese Kontrollen jedoch gezielt umgangen haben.

Die Hintertür war bereits in der Firmware verankert und verfügte über weitreichende Systemrechte. Weitere Schadsoftware wurde erst nach dem ersten Start des Geräts nachgeladen. Bei der Zertifizierung fiel der zunächst unauffällige Programmteil deshalb nicht auf.

Unter den Namen „x.cpe“ beziehungsweise „com.oemservice“ konnte die Hintertür Kontakt zu den Steuerungsservern aufnehmen und weitere Programme installieren. Selbst wenn Nutzer die Anwendung entfernten, wurde sie beim nächsten Neustart aus der geschützten OEM-Partition wiederhergestellt. Auch Google Play Protect ließ sich durch die Malware deaktivieren.

Streaming-Boxen als Werkzeuge für Kriminelle

Mit der Fernsteuerung konnten die Betreiber zusätzliche Schadsoftware installieren, Befehle ausführen und auf persönliche Daten zugreifen. Google beobachtete unter anderem das Anfertigen von Screenshots, simulierte Tastatureingaben und den Abfluss von Konto- und Geräteinformationen. Auch das lokale Netzwerk konnte nach weiteren erreichbaren Geräten durchsucht werden.

Den Zugriff auf die kompromittierten Geräte verkaufte Videostrong laut Google an andere kriminelle Akteure. Diese nutzten die Streaming-Boxen beispielsweise für Werbebetrug, indem im Hintergrund Webseiten aufgerufen und Werbeeinblendungen oder Klicks simuliert wurden.

Die Geräte dienten außerdem als sogenannte Residential Proxies. Dabei wird der Internetanschluss des Gerätebesitzers als Zugangspunkt für fremden Datenverkehr missbraucht. Aufgerufene Webseiten sehen dann lediglich die IP-Adresse eines gewöhnlichen Privathaushalts, während die tatsächlichen Auftraggeber ihre Herkunft verschleiern können. Die Besitzer der Streaming-Boxen bekommen davon im Normalfall nichts mit.

Betroffen waren Geräte verschiedener Marken und Modellreihen. Die Sicherheitsforscher von Synthient untersuchten beispielsweise eine MECOOL KM9PRO Max, auf der sie die Hintertür nachweisen konnten. Videostrong fertigt auch Geräte, die unter anderen Markennamen verkauft werden.

Neben Streaming-Boxen entdeckte Google die Schadsoftware vereinzelt auf weiteren Android-basierten Geräten, darunter Karaoke-Systeme und digitale Anzeigetafeln. Die Infektionen verteilen sich über zahlreiche Länder, auch Deutschland ist laut Synthient betroffen.

Google sperrt Videostrong dauerhaft

Google hat gemeinsam mit Sicherheitsunternehmen und der japanischen Polizei Maßnahmen gegen die Infrastruktur des Botnetzes ergriffen. Dabei wurden die Steuerungsserver von X.CPE sowie die Domains zahlreicher zusätzlich installierter Schadprogramme ins Visier genommen.

Die Abschaltung dieser Infrastruktur soll nach Googles Einschätzung auch den Zugriff auf mindestens zehn Millionen weitere kompromittierte Geräte unterbrechen. Diese Zahl kommt zu den 1,3 Millionen Geräten des X.CPE-Botnetzes hinzu und betrifft andere Infektionswege. Die kriminellen Partner von Videostrong hatten ihre Schadsoftware auch unabhängig von dessen Hintertür verbreitet.

Google hat sämtliche Geschäftsbeziehungen mit Videostrong beendet. Der Hersteller sowie dessen künftige Tochter- und Partnerunternehmen dürfen keine weiteren zertifizierten Android-Geräte produzieren oder Software an andere zertifizierte Hersteller liefern. Google will außerdem seine Prüfverfahren anpassen, damit vergleichbare Manipulationen der Firmware künftig besser erkannt werden.

Abgeschaltet heißt nicht bereinigt

Die Zerschlagung des Botnetzes entfernt die Hintertür nicht aus der Firmware bereits verkaufter Geräte. Auch ein gewöhnliches Zurücksetzen auf Werkseinstellungen dürfte deshalb nicht ausreichen, um die Schadsoftware zuverlässig loszuwerden.

Eine vollständige, für Verbraucher leicht überprüfbare Liste sämtlicher betroffener Geräte liegt bislang nicht vor. Synthient stellt allerdings technische Erkennungsmerkmale und Modellkennungen in einem öffentlichen Repository bereit. Allein die Übereinstimmung einer Modellbezeichnung ist noch kein eindeutiger Nachweis für eine Infektion.

Synthient empfiehlt Besitzern betroffener Geräte, diese vom Netzwerk zu trennen und nicht weiterzuverwenden. Da die Hintertür tief im System verankert ist, lässt sie sich nicht durch das einfache Deinstallieren einer Anwendung beseitigen. Die Sicherheitsforscher raten deshalb sogar dazu, kompromittierte Geräte dauerhaft außer Betrieb zu nehmen und zu entsorgen.