SHENZHEN, CHINA / LONDON (IT BOLTWISE) – Google beschreibt den Erfolg eines Einsatzes gegen ein Android-Botnetz mit mehr als 1,3 Millionen Geräten. Betroffen seien vor allem Android-TV-Boxen, deren Hersteller laut Google eine Hintertür namens x.cpe in die Firmware integriert habe. Die Module laufen als System-App und sollen sich durch den normalen Nutzerzugriff nicht einfach entfernen lassen. Google hat zudem Domains und Server der Kommando- und Steuerungskomponenten abschalten lassen.
Ein Android-Botnetz mit mehr als 1,3 Millionen kompromittierten Geräten ist Ende Oktober in einer groß angelegten Abschaltung aus dem Takt gebracht worden. Im Zentrum steht nach Darstellung von Google eine Hintertür, die in die Firmware vieler Android-TV-Boxen eingebettet war. Besonders relevant: Die Kontrolle lief über Kommando- und Steuerungsserver (C2), die über rechtliche Schritte von den zugehörigen Domains und Servern getrennt wurden. Dadurch konnten die Angreifer ihre Befehle offenbar nicht mehr in derselben Form nachladen und koordinieren.
Google ordnet den Ursprung der Manipulation klar ein: Laut Google habe der Hersteller Videostrong eine Hintertür absichtlich in die Geräte integriert und diese Zugriffe später kriminellen Akteuren verkauft. Videostrong sitzt in Shenzhen und fertigt Android-TV-Boxen sowohl unter dem eigenen Namen als auch für andere Marken. Die Hintertür heißt x.cpe und wurde laut Analyse über mehrere Jahre in viele Gerätemodelle und Marken eingebaut. Google schließt dabei nach eigener Darstellung aus, dass ein einzelner interner Saboteur oder ein Versehen den Ausschlag gegeben habe.
Technisch betrachtet läuft x.cpe als systemnahe App innerhalb der Firmware und erhält Systemrechte, berichtet Google. Die Komponente kommuniziert mit den C2-Servern und wartet auf Anweisungen, während sie gleichzeitig den Schutzmechanismus von Google Play Protect gezielt außer Kraft setzt: Vor einer stillen Installation von Software deaktiviert sie zunächst App-Prüfungen. Darüber hinaus kann das Backdoor-Setup Aktionen ausführen, die für Botnetze typisch, aber in ihrer Breite riskant sind: Live-Screenshots, das Senden von Tastatureingaben, das Auslesen von Kontodaten, Geräteinformationen, App-Listen und Systemprotokollen sowie die Einrichtung von Reverse Shells für Remote-Kommandos. Google nennt als Beispiele außerdem Fälle, in denen Betreiber aktiv Reverse-Shell-Zugriff genutzt haben.
Aus dieser Kombination ergibt sich das typische Missbrauchsszenario, das Google und mehrere beteiligte Partner beschreiben: Die kompromittierten Boxen wurden sowohl für Werbebetrug als auch als Proxyinfrastruktur verwendet. Bei einem Residential-Proxy-Service wirkt der Datenverkehr so, als stamme er von einem „normalen“ Heimanschluss; in der Praxis bedeutet das, dass die Absenderidentität für Angriffs- und Betrugszwecke verschleiert wird. Daneben berichteten die Beteiligten auch von Modulen, die Online-Werbeanzeigen „fälschten“, also simulierte oder manipulierte Interaktionen auslösen konnten. Auffällig ist außerdem die Verbreitung über Geräteklassen: Zwar dominieren Android-TV-Set-Top-Boxen, das Backdoor sei aber auch auf Telemedizin-Geräten, Karaoke-Maschinen und digitalen Werbetafeln gefunden worden.
Bei der Dimensionierung nennt TrendAI, als Enterprise-Einheit von Trend Micro, eine Zählung von 1.472.554 infizierten Geräten in 206 Modellen im Zeitraum vom 3. Juni bis zum 1. Oktober; die realen Zahlen dürften mindestens ebenso hoch liegen, wenn man die Abtastung und Abdeckung berücksichtigt. Besonders häufig seien Malaysia, Brasilien, Irak, Mexiko und Taiwan betroffen gewesen, während die USA, Deutschland, das Vereinigte Königreich, Australien und Kanada jeweils in einer Größenordnung von etwa 26.000 bis 42.000 Geräten liegen. Google erwartet zudem, dass die Abschaltung nicht nur den unmittelbaren Botnetzkern trifft, sondern durch die ebenfalls erfassten Kontrollbereiche weiterer Malwarefamilien den Zugang zu mindestens 10 Millionen zusätzlichen infizierten Geräten unterbindet – weil die Betreiber ihre Infrastruktur nicht ausschließlich auf diesen einen Kanal stützen.
Für Nutzer und Organisationen ist der entscheidende Punkt die Persistenz: Weil x.cpe Teil der Firmware ist, entfernt sich die Komponente nicht zuverlässig durch einen üblichen Deinstallations- oder Bereinigungsversuch. TrendAI zufolge läuft die Hintertür als systemsignierte App mit dem Hersteller-Schlüssel; daher erfordert eine saubere Bereinigung „Vendor action, platform protection or replacement of the device“, also Herstellermaßnahmen, Plattform-Schutz oder den Austausch. Plume empfiehlt zwar einen vollständigen Werksreset, weist aber zugleich darauf hin, dass weitere Module möglicherweise zusätzliche Hintertüren installiert haben; ob der Reset x.cpe selbst wirklich beseitigt, wird nicht verbindlich zugesagt. Für Verbraucher geht Synthient sogar den härteren Weg und rät, die betroffenen Geräte „für gut“ wegzuwerfen, da das Risiko weiterhin als hoch eingeschätzt wird.
Auch Hersteller und Plattformen stehen damit im Fokus: Google nutzt offenbar neben der Abschaltung von Domains und Servern auch Veränderungen in den Prüfprozessen. Nach Angaben von Google müssten Gerätehersteller normalerweise Kompatibilitäts- und Sicherheitstests durchlaufen, doch Videostrong habe die Code-Nachweise so verschleiert, dass eine Lücke in den Prüfungen umgangen werden konnte; geladen worden sei die schädliche Komponente erst nach dem ersten Boot. Google will deshalb die Review-Schritte für zertifizierte Android-TV-Geräte verschärfen, während Plume zugleich darauf hinweist, dass sowohl Google-zertifizierte Geräte als auch Geräte auf Basis von Android Open Source Project (AOSP) betroffen gewesen sein sollen. Für Unternehmen heißt das praktisch: Unverwaltete Consumer-Geräte im Heimnetz müssen als Teil der Angriffsfläche behandelt werden, etwa wenn Remote-Mitarbeiter auf genau diese Geräte angewiesen sind.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Google legt 1,3-Millionen-Android-Botnetz lahm – Hintertür x.cpe" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Google legt 1,3-Millionen-Android-Botnetz lahm – Hintertür x.cpe" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Google legt 1,3-Millionen-Android-Botnetz lahm – Hintertür x.cpe« bei Google Deutschland suchen, bei Bing oder Google News!