Google deckt globales Android-Botnetz auf

Google hat gemeinsam mit der japanischen Polizei und fünf Firmen ein weltweites Botnetz erkannt, aufgedeckt und abgeschaltet. Beteiligt waren unter anderen Lumen, Synthient und Trend AI.

An dem Netz namens XCPE hingen demnach mehr als 1,3 Millionen Android-Geräte. Neben TV-Boxen waren laut Google-Bericht auch Digital Signage-Geräte infiziert. Genauere Angaben zu Zahlen und Modellen macht Google nicht.

Google macht den Hersteller Videostrong aus Shenzhen verantwortlich. Das Unternehmen soll eine Backdoor in die eigene Firmware eingebaut haben, also einen versteckten Fernzugang. Den Zugang verkaufte Videostrong laut Google an Kriminelle. Diese leiteten fremden Datenverkehr über die Internetanschlüsse der Geräte und fälschten Werbeaufrufe. Videostrong darf künftig keine zertifizierten Android-Geräte mehr bauen.

Weltweit Geräte betroffen

Der Sicherheitsanbieter Trend AI zählte von Juni bis Anfang Oktober rund 1,47 Millionen infizierte Geräte. Die meisten davon stehen in Malaysia, Brasilien, Irak, Mexiko und Taiwan. In Deutschland, den USA, Großbritannien, Australien und Kanada waren es jeweils rund 26.000 bis 42.000.

Die tatsächlichen Zahlen dürften laut Trend AI höher liegen. Auf Googles Weltkarte, wo eine Legende fehlt, zählt Deutschland zu den wenigen eingefärbten Ländern Europas.

Was Betreiber jetzt prüfen sollten

Prüfen sollten vor allem Netzwerkbetreiber und Integratoren, die günstige Android-Boxen oder White-Label-Hardware einsetzen. Ein Android-Zertifikat allein reicht dabei nicht als Nachweis aus. Laut dem Partner Plume traf die Backdoor auch zertifizierte Geräte. Synthient fand sie auf Boxen der Marke Mecool und veröffentlichte 182 verdächtige Modellnamen.

Ein Modellname allein beweist laut Synthient jedoch nicht, dass ein Gerät infiziert ist. Aufschluss geben die Domains und IP-Adressen aus dem Google-Bericht, die Betreiber in Firewall-Logs suchen können.

Die Steuerserver sind offline, die Backdoor steckt aber weiter in der Firmware. Nach dem Löschen installiert sie sich beim Neustart neu. Laut Trend AI helfen nur Eingriffe des Herstellers oder der Plattform oder ein Austausch der Geräte. Die Partner raten, verdächtige Geräte vom Netz zu nehmen.

Herkunft der Firmware wird Thema

Smarte Geräte sollten zudem in eigenen Netzsegmenten laufen. Denn ein kompromittierter Player kann als Zugang ins Firmennetz dienen. Von Auftragsfertigern sollten Händler und Distributoren laut Google unabhängige Sicherheitsaudits verlangen.

Googles Eingriff hat das Botnetz abgeschaltet, die Frage nach der Herkunft der Firmware bleibt bei den Betreibern liegen. Für Digital Signage wird Sicherheit damit zum Thema der Lieferkette.