Google räumt x.cpe-Botnetz auf 1,3 Millionen Android-TV-Geräten ab

Kurz gesagt

Google hat das x.cpe-Botnetz abgeschaltet, das auf mehr als 1,3 Millionen zertifizierten Android-TV-Geräten auf seinem Höhepunkt lief.
Google hat das Botnetz auf das in Shenzhen ansässige Unternehmen Videostrong Technology zurückgeführt und die Beziehung zu dem Unternehmen beendet.
Die Malware hat Play Protect deaktiviert und es den Betreibern ermöglicht, Befehle auszuführen, Bildschirme aufzunehmen und lokale Netzwerke zu scannen.
Trend Micro zählte 1.472.554 infizierte Geräte, hauptsächlich in Brasilien, Malaysia, Irak, Mexiko und Taiwan.

Die Threat Intelligence Group von Google gibt an, ein Botnetz namens x.cpe abgeschaltet zu haben, das auf mehr als 1,3 Millionen Android-TV-Geräten auf seinem Höhepunkt lief. Die Geräte waren von Google zertifiziert, und Google gibt an, dass sein Prüfverfahren die Malware aufgrund von Verschleierungstechniken des in Shenzhen ansässigen Unternehmens Videostrong Technology übersehen hat.

Wie das Botnetz funktionierte

Nachdem die Geräte online gegangen waren, meldete sich eine Stub-Anwendung namens x.cpe oder com.oemservice bei der Heimatbasis. Das Paket hatte keine eigenen schädlichen Funktionen, besaß jedoch Systemberechtigungen, um Malware-Module auf Anfrage des Betreibers zu installieren. Es deaktivierte auch Play Protect, was andernfalls die stillschweigend installierten Pakete erkannt hätte.

Google stellte fest, dass die meisten Geräte Residential Proxies für die Weiterleitung großer Mengen schädlichen Datenverkehrs oder Module, die an Ad-Fraud-Schemata beteiligt waren, ausführten. Videostrong hatte zudem vollen Zugriff auf die Geräte, was es den Betreibern ermöglichte, Terminalbefehle auszuführen, den Bildschirm aufzunehmen und andere Geräte im lokalen Netzwerk zu scannen. Google soll Videostrong dabei in Echtzeit beobachtet haben.

Abschaltung und Konsequenzen

Google arbeitete mit der Nationalen Polizeibehörde Japans, Synthient und Trend Micro zusammen, um das x.cpe-Netzwerk zu stören. Es ergriff rechtliche Schritte, um die Domains und Server, die Videostrong zur Operation und Installation seiner Malware nutzte, abzuschalten, und ging gegen Command-and-Control-Server vor, die mit anderen Malware-Kampagnen verbunden waren. Google schätzt, dass Videostrong von etwa 10 Millionen kompromittierten Geräten abgeschnitten wurde.

Google stellte fest, dass die Operation nicht das Werk eines eigenmächtigen Akteurs war, daher hat es die Beziehung zu Videostrong beendet. Das Unternehmen sowie alle Tochtergesellschaften werden nicht gestattet sein, Googles Android-Apps und -Dienste zu nutzen.

Google gibt an, seinen Zertifizierungsprozess zu aktualisieren, um die Lücke zu schließen, die Videostrong ermöglichte, sein Botnetz auf zertifizierten Geräten zu betreiben. Play Protect bleibt auf den betroffenen Geräten deaktiviert, und die inaktiven Malware-Module sind weiterhin installiert. Da sie als System-Apps geladen werden, können Benutzer sie nicht einfach entfernen.

Umfang und betroffene Geräte

Trend Micro zählte insgesamt 1.472.554 infizierte Geräte, etwas mehr als Googles Schätzung. Die überwältigende Mehrheit befand sich in Brasilien, Malaysia, Irak, Mexiko und Taiwan, aber Zehntausende waren auch in den USA, Deutschland, Großbritannien, Australien und Kanada online. Synthient hat eine Liste von 182 Geräte-Modellnamen veröffentlicht, von denen bekannt ist, dass sie in das Botnetz einbezogen sind.

Quellen (auf Englisch)

KI-Übersetzung des englischen Originalartikels, automatisch geprüft, damit sie dasselbe aussagt wie das Original. Die Quellen wurden auf Englisch geprüft.

How do you feel about this story?

Comments 0

No comments yet. Start the discussion.