Mehr als 1,3 Millionen Geräte wurden über eine Hintertür, die möglicherweise bereits auf Unterhaltungselektronik vorinstalliert war, in das XCPE-Botnetz aufgenommen. Das geht aus einem Bericht der Google Threat Intelligence Group hervor. Google und Partner aus der Branche störten das Netzwerk letzte Woche und erklärten, sie seien mit hoher Sicherheit davon überzeugt, dass der in China ansässige Hersteller Videostrong Technology Co. die Malware zu finanziellen Zwecken entwickelt und betrieben habe.

Die als x.cpe oder com.oemservice identifizierte Hintertür war in die Firmware von Android-TV-Set-Top-Boxen und anderer Android-basierter Hardware integriert. Sie lief mit Systemrechten und konnte sich selbst aus der Firmware-Partition neu installieren, wenn ein Nutzer versuchte, sie zu entfernen. Den Großteil der infizierten Geräte machten Android-TV-Boxen aus, die Malware wurde jedoch auch auf Telemedizin-Geräten, Karaoke-Maschinen und Digital-Signage-Anlagen gefunden.

Videostrong soll kriminellen Partnern Zugang zu kompromittierten Geräten verkauft haben. Die Partner nutzten zusätzliche Software für Werbebetrug, nahmen Geräte in private Proxy-Netzwerke auf, die deren Bandbreite verkauften, und verbreiteten weitere Malware. Die Komponenten des Botnetzes veränderten sich im Laufe der Zeit: Spätere Versionen nutzten MQTT für die Befehls- und Kontrollkommunikation und ergänzten Funktionen zur Rechteausweitung und zur Abwehr von Analysen.

Google leitete rechtliche Schritte ein, um Domains und Server zu beschlagnahmen, die von Videostrong genutzt wurden, und störte die Infrastruktur von mehr als einem Dutzend Malware-Familien von Partnern. Das Unternehmen untersagte Videostrong außerdem sowie künftigen Tochtergesellschaften und Partnern des Unternehmens, Software für zertifizierte Android-Geräte zu entwickeln oder bereitzustellen. Google erklärte, die Maßnahme werde voraussichtlich den Zugang zu mindestens 10 Millionen weiteren kompromittierten Geräten unterbinden, die Partner über andere Kanäle erreicht hätten.

An der Operation waren die japanische Nationale Polizeibehörde, Lumen, HUMAN Security, Plume, Synthient und TrendAI beteiligt. Google verstärkte zudem die Prüfungen der Firmware-Integrität zertifizierter Android-TV-Geräte. Das Unternehmen hat jedoch keine vollständige Liste der betroffenen Modelle veröffentlicht, und die Hintertür befindet sich weiterhin in der Firmware bereits im Umlauf befindlicher Geräte.

Da die Malware während der Herstellung installiert wurde, haben Besitzer günstiger, nicht zertifizierter Boxen möglicherweise keine einfache Möglichkeit, sie zu erkennen oder zu entfernen. Infizierte Geräte könnten Google Play Protect deaktivieren, Screenshots erstellen, Shell-Befehle ausführen und Netzwerkverkehr unbemerkt weiterleiten. Google empfiehlt, bei zertifizierten Android-Partnern zu kaufen und verfügbare Sicherheitsfunktionen zu aktivieren.

Quellen: Cord Cutters News.