Google zufolge hat das Unternehmen gemeinsam mit Branchenpartnern rechtliche Schritte eingeleitet, um das XCPE-Botnetz zu zerschlagen, in das mehr als 1,3 Millionen Android-TV-Set-Top-Boxen eingebunden waren. Die Geräte waren mit Schadsoftware ausgestattet, die die Internetverbindungen der Nutzer für Residential-Proxy-Dienste verfügbar machte und Anzeigenbetrug unterstützte, wie aus einem Bericht der Google Threat Intelligence Group (GTIG) hervorgeht.
GTIG erklärte, die Verbindungen zu Videostrong Technology gekappt zu haben, einem chinesischen TV-Box-Hersteller, den die Gruppe und andere Experten für die Installation der Schadsoftware verantwortlich machten. Google ging außerdem gegen Domains und Server vor, die zur Steuerung des Botnetzes und zum Aufspielen weiterer Schadsoftware auf infizierte Geräte eingesetzt wurden.
Residential Proxies ermöglichen es Kunden, Webdatenverkehr über die Internetadressen anderer Personen zu leiten, wodurch sich ihre Identität oder ihr scheinbarer Standort verschleiern lässt. GTIG zufolge verkaufte Videostrong kriminellen Partnern den Zugang zu den kompromittierten Geräten, die diese zur Verbreitung weiterer Schadsoftware nutzen konnten. Der Bericht bezeichnet diese Praxis als schwerwiegenden Vertrauensbruch, da die Geräte ohne Wissen oder Zustimmung ihrer Besitzer verwendet wurden.
TV-Boxen machten den größten Teil des Botnetzes aus. GTIG fand die XCPE-Schadsoftware jedoch auch auf anderen internetfähigen Produkten mit Android-Betriebssystem, darunter Telemedizin-Geräte, Karaoke-Anlagen und Digital-Signage-Systeme. Google erklärte, Gerätehersteller müssten Kompatibilitäts- und Sicherheitstests bestehen. Videostrong habe jedoch einen Weg gefunden, seine Software beim ersten Start eines Geräts zu installieren. Google zufolge wurde diese Schwachstelle inzwischen behoben.
Laut GTIG dürfte die Zerschlagung dem XCPE-Botnetz den Zugriff auf mindestens 10 Millionen weitere kompromittierte Geräte nehmen. Die Gruppe warnte, dass die Partner weitere Verbreitungswege jenseits von XCPE hatten. Ben Brundage, Gründer von Synthient, bezeichnete die gemeldete Zahl von 1,3 Millionen Geräten unterdessen als vorsichtige Schätzung.
Google würdigte Synthient und weitere Branchenpartner für ihre Arbeit an der Zerschlagung. Synthient berichtete separat, die Schadsoftware und Proxy-Komponenten von Videostrong auf einer vorinfizierten MECOOL-TV-Box gefunden zu haben. Der Bericht brachte die Schadsoftware außerdem mit Proxy-Diensten wie AppSalt, auch bekannt als Honeygain, und Grass in Verbindung. Im GTIG-Bericht wurden mehrere weitere Proxy-Anbieter genannt, deren Software Development Kits von infizierten Geräten heruntergeladen wurden, darunter EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb und GaGaNode.
Quellen: Krebs on Security.