// HEISE ONLINE — MOBILE & WEB
Google legt Botnetz lahm, beschuldigt Hersteller von Android-Set-Top-Boxen
Ein Botnetz aus über einer Million infizierter Android-Geräte stammte offenbar vom Gerätehersteller selbst. Geräte waren ab Werk mit Malware verseucht.
Googles Threat Intelligence Group (GTIG) meldet einen Schlag gegen das Botnetz XCPE. Zusammen mit mehreren Partnern, darunter die nationale Polizeibehörde Japans, habe man zugehörige Kontrollinfrastrukturen (Command & Control, C2) abgeschaltet. Darüber seien über eine Million infizierte Geräte fremdgesteuert worden. Primär seien Set-Top-Boxen auf Basis von Android betroffen.
Google beschuldigt den Hersteller der Boxen, das chinesische Unternehmen Videostrong Technology Co., schwer. Die Firma soll die Malwarekampagne absichtlich gestartet haben. Man glaube nicht, dass es sich um ein Versehen oder die Handlungen eines einzelnen böswilligen Insiders bei der Firma handele. Vielmehr komme GTIG mit großer Zuversicht („high confidence“) zu dem Schluss, dass Videostrong – ein Android-OEM – das Botnetz absichtlich und als Geschäftsmodell entwickelt, verbreitet und betrieben habe.
Folgerichtig erklärt Google, dass Videostrong und mögliche zukünftige Tochterfirmen oder Geschäftspartner des Unternehmens keine zertifizierten Android-Geräte mehr bauen oder verkaufen dürfen. Außerdem sei dem Unternehmen nun verboten, anderen zertifizierten Android-Anbietern Software zuzuliefern. Darüber hinaus gehe Google juristisch gegen Domains und Server von Videostrong vor, über die XCPE kontrolliert worden war, und gegen weitere C2-Infrastrukturen von über einem Dutzend Malwarefamilien, die via XCPE ausgeliefert worden seien. Auf eine Anfrage von heise online reagierte Videostrong nicht unmittelbar. Wir werden den Artikel per Update ergänzen, falls wir eine Antwort erhalten.
Google zufolge hat der Konzern auch die eigenen Maßnahmen verbessert, mit denen die Integrität der Firmware zertifizierter Android-Geräte sichergestellt werden soll. XCPE habe Lücken in Googles Tests ausgenutzt und bösartigen Code erst nach dem erstmaligen Boot eines Gerätes nachgeladen. Darauf habe Google inzwischen mit einem verbesserten Review-Prozess reagiert.
Die Malware XCPE besteht dem GTIG-Bericht zufolge aus drei Stufen. Eine initiale Komponente, die Google x.cpe nennt, ist über die Firmware-Partition vorinstalliert. Selbst wenn Nutzer sie entfernen, wird sie beim nächsten Reboot des Android-Geräts aus der OEM-Partition wiederhergestellt. x.cpe ist – zumindest in neueren Iterationen der Malware – sehr minimal gehalten, vermutlich um einer Entdeckung zu entgehen.
x.cpe kontaktiert Services des Botnetz-Betreibers per HTTP, übermittelt Daten zum infizierten Gerät und lädt Konfigurationen für nachgelagerte Schadsoftware-Module herunter. Diese anfängliche Kommunikation lief über unterschiedliche Subdomains, je nach vorgefundener Android-Version. Nach der ersten Konfiguration per HTTP bleibt die Malware über das IoT-Protokoll MQTT mit der Angreifer-Infrastruktur in Kontakt. Außerdem bietet x.cpe eine Möglichkeit der Interprozesskommunikation. Unterschiedliche Module der Malware können so Androids App-Isolation umgehen und miteinander reden.
Um den Start dieser Module kümmert sich eine zweite Stufe der Malware, bei der es sich meist um eine Komponente namens com.abc.nexus handelt. In jüngster Zeit ersetzten die Betreiber diesen Loader laut GTIG zunehmend durch spezialisierte Dropper, die jeweils nur ein einzelnes Modul laden. com.abc.nexus versucht sich selbst und nachgeladene Malwaremodule mit verschiedenen Anti-Analyse-Techniken zu schützen. Dann aktiviert sie – je nach Konfiguration – die gewünschten Module, die teilweise direkt in der Malware enthalten sind und teilweise aus dem Internet nachgeladen wurden. Das geschah für den betroffenen Nutzer nicht erkennbar: Die Malware deaktivierte die übliche Abfrage vor dem Ausführen fremder Apps und schaltete auch Googles Schutzsystem Play Protect aus.
Die meisten der Malwaremodule spannten das infizierte Gerät als „residential proxy“ ein, leiteten also fremden Datenverkehr über