Google hat ein Botnetz mit mehr als 1,3 Millionen Android-Geräten zerschlagen, bei denen es sich größtenteils um TV-Set-Top-Boxen handelte, nachdem das Unternehmen Ende Oktober rechtliche Schritte gegen die zur Steuerung des Netzwerks verwendeten Domains und Server eingeleitet hatte.
Das Unternehmen erklärt, es sei äußerst zuversichtlich, dass der in Shenzhen ansässige Gerätehersteller Videostrong über mehrere Jahre hinweg absichtlich eine Hintertür namens x.cpe in zahlreiche Modelle und Marken eingebettet und anschließend Zugang dazu an kriminelle Betreiber verkauft habe. Google zufolge deutete die Aktivität weder auf einen isolierten Insider noch auf eine versehentliche Software-Schwachstelle hin.
Die Hintertür arbeitet als Systemanwendung innerhalb der Firmware und verfügt über Berechtigungen auf Systemebene. Sie kann mit Command-and-Control-Servern kommunizieren, Anwendungen ohne Wissen des Eigentümers installieren, Befehle ausführen, Bildschirme erfassen und das lokale Netzwerk kartieren. Um stille Installationen zu ermöglichen, deaktiviert sie zunächst die Anwendungsprüfungen von Google Play Protect.
Google erklärte, es habe beobachtet, wie Betreiber den Zugang nutzten, um Live-Screenshots aufzunehmen, Tastatureingaben zu protokollieren, Kontoinformationen, Gerätedaten, Anwendungslisten und Systemprotokolle zu sammeln und Reverse Shells für den entfernten Zugriff über die Kommandozeile zu öffnen. Kriminelle Module wandelten die Geräte hauptsächlich in Proxys für private Internetanschlüsse um oder verkauften deren ungenutzte Bandbreite. Andere Komponenten dienten dazu, Aufrufe von Online-Werbung zu fälschen.
Die betroffene Hardware beschränkte sich nicht auf Android-TV-Boxen. Die Hintertür wurde auch auf Telemedizin-Geräten, Karaoke-Maschinen und digitaler Beschilderung gefunden. TrendAI zählte zwischen dem 3. Juni und dem 1. Oktober 1.472.554 infizierte Geräte in 206 Modellen und wies darauf hin, dass die tatsächliche Zahl höher liegen könnte. Malaysia, Brasilien, Irak, Mexiko und Taiwan verzeichneten die höchsten Zahlen, während die Vereinigten Staaten, Deutschland, das Vereinigte Königreich, Australien und Kanada jeweils etwa 26.000 bis 42.000 betroffene Geräte aufwiesen.
Im Rahmen der Operation schaltete Google außerdem Kontroll-Domains ab, die mit mehr als einem Dutzend über die Hintertür ausgelieferten Malware-Familien verbunden waren. Die japanische Nationale Polizeibehörde, Lumen, HUMAN Security, Plume, Synthient und TrendAI leisteten Beiträge zur Untersuchung und Zerschlagung des Netzwerks.
Google erwartet, dass die Maßnahme den Kriminellen den Zugriff auf mindestens 10 Millionen weitere infizierte Geräte versperren wird, weil dieselben Betreiber Malware über andere Kanäle verbreiteten. Das Unternehmen warnte jedoch, dass die Verantwortlichen des Betriebs nach der Entfernung eines Teils ihrer Infrastruktur möglicherweise schnell neue Werkzeuge einsetzen werden.
Die x.cpe-Hintertür bleibt in der Firmware betroffener Geräte eingebettet und kehrt nach einem Neustart des Geräts zurück, sodass die Besitzer sie nicht dauerhaft selbst entfernen können. TrendAI erklärte, die Bereinigung erfordere Maßnahmen des Anbieters, stärkere Plattform-Schutzmechanismen oder den Austausch der Hardware. Plume empfiehlt einen vollständigen Werksreset, da möglicherweise zusätzliche Hintertüren installiert wurden, bestätigt jedoch nicht, dass der Reset x.cpe entfernt. Synthient rät Verbrauchern, betroffene Geräte zu entsorgen.
Synthient hat eine Liste mit 182 Modellnamen veröffentlicht, die mit der Kampagne in Verbindung stehen, warnt jedoch, dass ein Modellname allein keine Infektion beweist. Die Untersuchung konzentrierte sich auf Geräte der Marke MECOOL, die mit Videostrong verbunden sind, darunter ein MECOOL KM9PRO Max, bei dem die Hintertür bereits vorinstalliert gefunden wurde. Plume identifizierte mehr als ein Dutzend Geräte, die mit dem Kontrollserver des Botnetzes kommunizierten; die meisten stammten von MECOOL.
Für Organisationen empfiehlt Synthient, potenziell betroffene Geräte mithilfe seiner Indikatoren zu identifizieren, sie zu trennen und zu entsorgen, die aufgeführten Kontroll-Domains und IP-Adressen zu blockieren und andere intelligente Geräte durch Netzwerksegmentierung von sensiblen Systemen zu isolieren. TrendAI rät Unternehmen mit Beschäftigten im Homeoffice außerdem, nicht verwaltete Verbrauchergeräte in Heimnetzwerken als Teil ihrer Angriffsfläche zu betrachten und für den Unternehmenszugriff verwaltete Geräte vorzuschreiben.
Google erklärte, zu den Belegen für eine Verbindung Videostrong mit dem Betrieb habe die Fähigkeit der Hintertür gehört, Einstellungen von Command-and-Control-Servern an andere Videostrong-Anwendungen, darunter dessen YokaTV Player, weiterzugeben. Ein GitHub-Konto, auf dem Botnetz-Pakete gehostet wurden, verwendete den Namen yf-videostrong. Synthient verwies auf ein von Videostrongs Forschungs- und Entwicklungsdirektor unterzeichnetes Dokument sowie auf eine Überschneidung zwischen einer Web-Domain von Videostrong und der IP-Adresse des Kontrollpanels der Betreiber. Plume stellte außerdem fest, dass Videostrong sowohl Geräte-Firmware als auch Werkzeuge zur Fernverwaltung lieferte.
Google zufolge verbarg Videostrong den schädlichen Code, um Kompatibilitäts- und Sicherheitsprüfungen für zertifizierte Android-Geräte zu umgehen, und lud ihn nach dem ersten Start des Geräts. Google hat seinen Prüfprozess inzwischen geändert und verbessert die Firmware-Prüfungen für zertifizierte Android-TV-Produkte.
Google hat Videostrong sowie alle künftigen Tochtergesellschaften oder verbundenen Unternehmen von der Herstellung oder dem Verkauf zertifizierter Android-Geräte und von der Lieferung von Software an andere zertifizierte Gerätehersteller ausgeschlossen. Am 2. November listete die Website von Videostrong weiterhin Produkte auf, die als Google Certified Android TV Box und Google Certified Android TV Stick beschrieben wurden. Plume erklärte, das Botnetz habe sowohl von Google zertifizierte Geräte als auch Produkte mit Android-Open-Source-Projekt-Software betroffen, obwohl Google nicht offenlegte, wie viele zertifizierte Geräte beteiligt waren.
Quellen: The Hacker News.