1,3 Millionen infizierte Android-TVs und das mit Absicht: Der Hersteller hatte seine Geräte an Kriminelle verkauft

Hintertür ab Werk: Google sagt, ein Hersteller habe Zugang zu 1,3 Millionen Android-TV-Boxen an Kriminelle verkauft. (Bild: iryna_l - adobe.stock.com)

Mit dem Kauf einer Streaming-Box ist für Kunden alles erledigt, sollte man meinen. Beim Android-Gerätehersteller und -entwickler »Videostrong« ging das Geschäft laut Google danach erst richtig los – nämlich mit einem Botnetz aus mehr als 1,3 Millionen Android-TV-Boxen, wie das Unternehmen erklärt.

Dass nicht ein Angreifer von außen, sondern der Hersteller selbst dahintersteckt, schätzt der Konzern mit hoher Sicherheit ein: Videostrong habe die Hintertür absichtlich entwickelt und betrieben, um damit ihr Geld zu verdienen.

Hintertür in der Firmware

XCPE (auch x.cpe genannt) ist als System-App in der Firmware vorinstalliert. Löscht ein Nutzer sie, installiert sie sich beim Neustart aus einer Partition heraus neu.

Über eine dauerhafte Verbindung zum Server konnten die Betreiber unbemerkt Google Play Protect abschalten und darausfolgend Apps installieren sowie Shell-Befehle ausführen.
Google beobachtete den Angaben im Blogeintrag zufolge, wie die Videostrong-Betreiber Screenshots aufnahmen, Tastatureingaben einschleusten und Kontodaten abzogen.

Die vorinstallierte Hintertür holt Befehle vom Server, ein Loader zieht Module für Werbebetrug und Proxys nach. (Bild: Google)

Verdient wurde vor allem mit Software-Modulen: Sie machten die Boxen zu sogenannten »Residential Proxies« – Anschlüsse, über die Fremde ihren Datenverkehr leiten – und luden so weitere Schadsoftware nach.

Googles Indizien gegen Videostrong

Google wirft Videostrong bei dieser Hintertür Absicht vor. So steckte die Schadsoftware über mehrere Jahre in vielen Modellen und Marken, die auf eigene Infrastruktur und laufend angepasste Konfigurationen gestützt war.

Das spreche gegen einen einzelnen Mitarbeiter oder ein Malheur während der Entwicklungsphasen. Die Zertifizierungstests soll das Unternehmen indes mit verschleiertem Code umgangen haben; die Schadfunktion an sich lud erst nach dem ersten Start nach.

Zunächst verteilt Google gewissermaßen ein Hausverbot: Videostrong und künftige Tochter- oder verbundene Unternehmen dürfen keine zertifizierten Android-Geräte mehr bauen und verkaufen sowie keine Software an andere zertifizierte Hersteller liefern.

Die bisherigen rechtlichen Schritte betrafen wiederum primär Domains und Server, mit denen Videostrong das Botnetz steuerte. Wie Besitzer betroffener Boxen vorgehen sollen, sagt der Bericht nicht, nennt dafür aber die Paketnamen der Malware x.cpe, com.oemservice und com.abc.nexus. Allgemein rät Google, nur Geräte seriöser Hersteller zu kaufen und Play Protect aktiv zu halten.