In einer Entwicklung, die absolut niemanden überraschen dürfte, der jemals eine billige Streaming-Box misstrauisch beäugt hat, hat Google bestätigt, dass einer seiner Android-Herstellungspartner heimlich eine Hintertür in 1,3 Millionen Geräte eingebaut und sie in ein Botnetz verwandelt hat. Das Unternehmen erklärt, es habe die Hintertür inzwischen entfernt und die „Beziehungen abgebrochen“ zu dem Hersteller Videostrong Technology Co. mit Sitz in Shenzhen, China, der nun davon ausgeschlossen ist, zertifizierte Android-Geräte zu bauen oder zu verkaufen oder Software dafür zu liefern.

Die infizierten Geräte wurden ohne Wissen der Besitzer für „bösartige Aktivitäten“ genutzt, darunter Werbebetrug, Datenexfiltration und die Weiterleitung unbefugten Netzwerkverkehrs. Google behauptet, die „Hintertür und das Botnetz wurden absichtlich entwickelt, eingesetzt und betrieben, um finanziellen Gewinn zu erzielen“. Schockierend, wir wissen es. In einer Erklärung erläuterte das Unternehmen, dass Videostrong die Hintertür monetarisierte, indem es Zugang an kriminelle Partner verkaufte und deren Malware-Module auf die infizierten Geräte lud. Diese sekundären Module führten Werbebetrug durch, schrieben infizierte Geräte stillschweigend in Residential-Proxy-Netzwerke ein und luden zusätzliche Malware auf XCPE-kompromittierte Geräte.

Google ergriff auch Maßnahmen, um die Command-and-Control-(C2)-Domains zu stören, die diese Partner-Module betrieben. Da die Partner jeweils über diversifizierte Vertriebskanäle jenseits von XCPE verfügen, schätzt Google, dass die Abschaltung ihrer C2-Domains den Zugang zu mindestens 10 Millionen weiteren kompromittierten Geräten kappen wird. Also ein Silberstreif am Horizont: Nur 10 Millionen weitere Geräte waren mit von der Partie.

Es war auch nicht nur ein Gerätemodell betroffen – die Malware wurde „direkt in viele verschiedene Gerätemodelle und -marken über mehrere Jahre hinweg eingebaut“. Die meisten waren Android-TV-Set-Top-Boxen, aber das Botnetz infizierte auch andere „Android-basierte IoT-Geräte, darunter Telemedizin-Geräte, Karaoke-Maschinen und Digital-Signage-Geräte“. Denn nichts sagt „vertrauenswürdige medizinische Ausrüstung“ wie eine Portion Werbebetrug.

Google zufolge verwendete Videostrong „Verschleierungstechniken“, um die Malware auf die Geräte der Nutzer zu laden, nachdem diese die Hardware zum ersten Mal hochgefahren hatten. Das Unternehmen erklärt außerdem, es habe nach diesem Vorfall Änderungen an seinem Überprüfungsprozess für Gerätehersteller vorgenommen – vermutlich mit weniger Augenzwinkern und mehr tatsächlicher Kontrolle.