// COMPUTERBASE — MOBILE & WEB
Android TV: 1,3 Millionen Geräte ab Werk verseucht
Mehr als 1,3 Millionen Android-basierte Geräte wurden ohne Wissen ihrer Besitzer für kriminelle Geschäfte genutzt. Die Ermittlungen führen zu einem Hersteller, der bislang zu Googles zertifizierten Android-Partnern gehörte. Inzwischen hat der Konzern die Zusammenarbeit beendet.
Die Untersuchungen der Google Threat Intelligence Group belasten den chinesischen Hersteller Videostrong Technology schwer. Das Unternehmen soll über mehrere Jahre hinweg Android-Geräte mit einer Hintertür namens X.CPE ausgestattet und den Zugriff anschließend an kriminelle Partner verkauft haben. Dass lediglich ein einzelner Mitarbeiter verantwortlich war oder die Schadsoftware versehentlich in die Firmware gelangte, schließen die Sicherheitsforscher als Erklärung weitgehend aus.
Videostrong gehörte bislang zu Googles zertifizierten Android-Herstellern. Deren Produkte müssen Kompatibilitäts- und Sicherheitsprüfungen durchlaufen, bevor sie mit vorinstallierten Google-Diensten ausgeliefert werden dürfen. Videostrong soll diese Kontrollen jedoch gezielt umgangen haben.
Die Hintertür war bereits in der Firmware verankert und verfügte über weitreichende Systemrechte. Weitere Schadsoftware wurde erst nach dem ersten Start des Geräts nachgeladen. Bei der Zertifizierung fiel der zunächst unauffällige Programmteil deshalb nicht auf.
Unter den Namen „x.cpe“ beziehungsweise „com.oemservice“ konnte die Hintertür Kontakt zu den Steuerungsservern aufnehmen und weitere Programme installieren. Selbst wenn Nutzer die Anwendung entfernten, wurde sie beim nächsten Neustart aus der geschützten OEM-Partition wiederhergestellt. Auch Google Play Protect ließ sich durch die Malware deaktivieren.
Mit der Fernsteuerung konnten die Betreiber zusätzliche Schadsoftware installieren, Befehle ausführen und auf persönliche Daten zugreifen. Google beobachtete unter anderem das Anfertigen von Screenshots, simulierte Tastatureingaben und den Abfluss von Konto- und Geräteinformationen. Auch das lokale Netzwerk konnte nach weiteren erreichbaren Geräten durchsucht werden.
Den Zugriff auf die kompromittierten Geräte verkaufte Videostrong laut Google an andere kriminelle Akteure. Diese nutzten die Streaming-Boxen beispielsweise für Werbebetrug, indem im Hintergrund Webseiten aufgerufen und Werbeeinblendungen oder Klicks simuliert wurden.
Die Geräte dienten außerdem als sogenannte Residential Proxies. Dabei wird der Internetanschluss des Gerätebesitzers als Zugangspunkt für fremden Datenverkehr missbraucht. Aufgerufene Webseiten sehen dann lediglich die IP-Adresse eines gewöhnlichen Privathaushalts, während die tatsächlichen Auftraggeber ihre Herkunft verschleiern können. Die Besitzer der Streaming-Boxen bekommen davon im Normalfall nichts mit.
Betroffen waren Geräte verschiedener Marken und Modellreihen. Die Sicherheitsforscher von Synthient untersuchten beispielsweise eine MECOOL KM9PRO Max, auf der sie die Hintertür nachweisen konnten. Videostrong fertigt auch Geräte, die unter anderen Markennamen verkauft werden.
Neben Streaming-Boxen entdeckte Google die Schadsoftware vereinzelt auf weiteren Android-basierten Geräten, darunter Karaoke-Systeme und digitale Anzeigetafeln. Die Infektionen verteilen sich über zahlreiche Länder, auch Deutschland ist laut Synthient betroffen.