Google verbietet Videostrong, nachdem 1,3 Millionen Android-Geräte ein Botnet gebildet haben

Google hat angekündigt, ein Botnet bestehend aus mehr als 1,3 Millionen Android-Geräten zerlegt und die Beziehungen zum Hersteller, der in Shenzhen ansässigen Videostrong Technology Co., gekappt zu haben. Das Unternehmen stellt fest, dass der Hersteller seine Geräte "absichtlich" mit Malware übernommen hat, um aus finanziellen Gründen böswillige Aktivitäten durchzuführen.

Die Botnet-Operation

Die infizierten Geräte, zu denen Android-TV-Set-Top-Boxen, Telemedizin-Ausrüstung, Karaoke-Maschinen und digitale Beschilderungseinheiten gehören, wurden ohne Wissen der Besitzer genutzt. Laut Google wurden die Geräte für "Werbetäuschung, Datenabfluss und das Routing nicht autorisierter Netzwerkverkehr" eingesetzt.

Die Threat Intelligence Group von Google erklärte: "Wir bewerten mit hoher Sicherheit, dass das Hintertürchen und das Botnet absichtlich von Videostrong Technology entwickelt, bereitgestellt und betrieben wurden, um finanziellen Gewinn zu erzielen." Das Unternehmen behauptet, Videostrong habe das Hintertürchen monetarisiert, indem es den Zugriff an kriminelle Verbündete verkaufte, die dann Malware-Module auf die Geräte luden. Diese Module wurden genutzt, um Werbetäuschung durchzuführen, Geräte stillschweigend in Residential-Proxy-Netzwerke einzuschreiben und zusätzliche Malware auf XCPE-kompromittierte Geräte zu laden.

TrendAI, eine Unternehmenssparte von Trend Micro, berichtete, dass es zwischen dem 3. Juni und dem 1. Oktober 1.472.554 infizierte Geräte über 206 Modelle hinweg zählte. TrendAI protokollierte zudem mehr als 3,8 Millionen eindeutige Heim- und Mobilfunk-IP-Adressen, die sich während dieses Zeitraums mit der Operation verbanden.

Technische Details und Zuordnung

Das Hintertürchen, als x.cpe verfolgt, lief als System-App innerhalb des Firmware mit System-Rechten. Laut Analyse von Google würde die Malware mit Command-and-Control (C2)-Servern kommunizieren und auf Anweisungen warten. Sobald aktiv, konnte sie App-Scan-Prüfungen in Google Play Protect deaktivieren, um Software stillschweigend zu installieren, Screenshots zu erfassen, lokale Netzwerke zu kartieren und Reverse Shells für den Fernzugriff über die Befehlszeile zu öffnen.

Mehrere Entitäten halfen bei der Auflösung, darunter die Nationale Polizeibehörde Japans und die Sicherheitsfirmen Lumen, HUMAN Security, Plume, Synthient und TrendAI. Beweise für die Zuordnung zu Videostrong umfassen:

• Ein Dokument, das vom Forschungs- und Entwicklungsdirektor von Videostrong unterzeichnet wurde und auf einem Botnet-Server gefunden wurde.
• Ein Web-Domain von Videostrong, die eine IP-Adresse mit dem Bedienfeld der Betreiber teilt.
• Ein GitHub-Konto, das Botnet-Pakete hostet und als "yf-videostrong" registriert ist.
• Plume identifizierte, dass der Hersteller sowohl das Firmware als auch die Fernverwaltungstools für die Geräte bereitstellte.

Konsequenzen und Sanierung

Google hat Videostrong dauerhaft verboten, zertifizierte Android-Geräte herzustellen oder zu verkaufen, sowie Software für die Android-Plattform bereitzustellen. Google erwartet, dass diese Maßnahme mindestens 10 Millionen weitere kompromittierte Geräte abschneidet, die von Verbündeten betrieben werden.

Die Sanierung wird als schwierig eingestuft, da das x.cpe-Hintertürchen mit dem Schlüssel des Herstellers im Firmware signiert ist und sich nach einem Gerätewerkseinstellung neu installiert. Während Plume eine vollständige Werkseinstellung vorschlägt, haben Synthient die Verbraucher beraten, die betroffenen Boxen endgültig zu entsorgen. TrendAI erklärte, dass die Bereinigung "Herstelleraktion, Plattformschutz oder Austausch des Geräts" erfordert.

Quellen (auf Englisch)

• theverge.com: One of Google’s Android partners turned 1.3 million set-top boxes into a botnet | The Verge
• techbuzz.ai: Google Bans Partner After 1.3M Android Boxes Turned Botnet | The Tech Buzz
• finance.biggo.com: Google Cuts Off 1.3 Million Android TV Boxes From Botnet, Bans Maker Videostrong — BigGo Finance

KI-Übersetzung des englischen Originalartikels, automatisch geprüft, damit sie dasselbe aussagt wie das Original. Die Quellen wurden auf Englisch geprüft.