Google zerschlägt Android-Botnetz mit 1,3 Millionen Geräten: Videostrong verliert Zertifizierung
Google hat rechtlich durchgesetzt, die Command-and-Control-Infrastruktur hinter x.cpe abzuschalten – einer Backdoor, die fest in Android-Firmware eingebaut ist und die TrendAI zwischen dem 3. Juni und dem 1. Oktober 2026 auf 1.472.554 Geräten gezählt hat. Die Zahl umfasst 206 Gerätemodelle, überwiegend Android-TV-Set-Top-Boxen, und Google bezeichnet sie als Untergrenze. In der eigenen Analyse heißt es, mit der Abschaltung der Affiliate-Server des Botnetzes werde auch der Zugriff auf mindestens 10 Millionen weitere kompromittierte Geräte gekappt, weil dieselben kriminellen Gruppen Malware über andere Kanäle verbreiten.
Was die Backdoor konnte
x.cpe, auch als com.oemservice bekannt, läuft als System-App mit den Rechten von android.uid.system. Das Paket steckt im Firmware-Image und wird nicht nachträglich installiert; ein Werksreset entfernt es daher nicht, weil es beim Neustart aus der /oem/-Partition wiederhergestellt wird. Laut dem Threat-Intelligence-Team von Google deaktiviert der Implantat die App-Prüfung von Play Protect, indem package_verifier_user_consent auf -1 gesetzt wird, und öffnet dann einen dauerhaften MQTT-Kanal zu den Betreibern. Die Analyse von TrendAI, zusammengefasst bei The Hacker News, beschreibt einen zweistufigen Aufbau, bei dem eine HTTP-Bootstrap-Anfrage dem Gerät seinen Befehlsserver zuweist.- Stilles Installieren und Entfernen von Apps
- Ausführen beliebiger Shell-Befehle, auch Reverse Shells
- Bildschirmaufnahme und Einspeisen von Tastatureingaben
- Einsammeln von Kontodaten, App-Listen und Systemprotokollen
- Netzwerkerkundung des lokalen Subnetzes
- Neuinstallation nach dem Neustart aus der Firmware-Partition
Residential-Proxys waren das Produkt
Die meisten Monetarisierungsmodule machten aus infizierter Hardware Residential-Proxy-Ausgangsknoten oder verkauften ungenutzte Bandbreite. Der Google-Bericht nennt Proxy-SDKs wie Linkfog, Jaguar, AppSalt, BWM, GaGaNode, NetNut und Traffmonetizer und merkt an, dass auf einem Gerät bis zu drei davon gleichzeitig laufen konnten. Andere Module, erfasst als Spirit, Moyu, Bird, Fission und HiddenView, erzeugten gefälschte Werbeimpressionen. Ein Residential-Proxy-Netz ist nur so wertvoll wie die Vielfalt und Reputation seiner Ausgangs-IPs, und Verbrauchergeräte in Haushalten liefern genau das: Adressen, die wie normale Breitbandanschlüsse aussehen und nicht wie Rechenzentrumsbereiche. Käufer solcher Kapazität leiten darüber Scraping-, Credential-Stuffing- und Betrugsverkehr, der sonst blockiert würde. Steht der Ausgangsknoten in der Fernseher-Box im Wohnzimmer, wird der Verkehr dem Anschluss dieses Haushalts zugeordnet.Ein Gerätehersteller, der seine Nutzer vorsätzlich mit Malware infiziert, bricht in unakzeptabler Weise das Vertrauen – und stellt ein ernstes Risiko für diese Nutzer dar. - GoogleWer Netzwerkidentität als Betriebsfrage behandelt, sollte daraus mitnehmen, dass ein kompromittiertes Gerät Verkehr über die eigene Leitung schicken kann, den man nicht erzeugt hat. Dasselbe gilt für die Hardware, mit der man Tor erreicht oder sensible Dinge verwaltet; die allgemeine Checkliste steht in unserem Ratgeber zur Gerätesicherheit vor Tor.
Zuschreibung: ein unterschriebenes Dokument und eine geteilte IP
Google zeigt sich sehr sicher, dass Videostrong Technology aus Shenzhen die Backdoor bewusst entwickelt, ausgerollt und betrieben und Zugang an kriminelle Affiliates verkauft hat. Zur Evidenz gehören ein von Videostrongs F&E-Leiter unterschriebenes Dokument, das auf einem Botnet-Server gefunden wurde, eine Videostrong-Domain, die auf dieselbe IP wie das Kontrollpanel der Betreiber zeigt, ein GitHub-Konto namens yf-videostrong für das Staging von Releases sowie x.cpe, das Befehlsserver-Einstellungen an andere Videostrong-Apps wie YokaTV Player weitergibt. Googles Charley Snyder sagte gegenüber CyberScoop, die Betreiber hätten ihre Konfigurationen ständig geändert, um Erkennung vor und nach dem Start zu umgehen. Synthient, einer der Partner bei der Abschaltung, kam unabhängig zum selben Schluss. Das Unternehmen kaufte ein MECOOL KM9PRO Max im Handel und fand die Backdoor vorinstalliert, veröffentlichte dann eine Liste mit 182 Gerätemodellnamen aus der Kampagne – mit dem Hinweis, dass ein Modellname allein keine Infektion belegt. Plume, Anbieter von Router- und Gerätemanagement-Software, fand mehr als ein Dutzend Gerätetypen, die mit dem Kontrollserver des Botnetzes sprachen, überwiegend von MECOOL.Die Abschaltung und was sie offen lässt
Die Maßnahme, durchgeführt mit der japanischen National Police Agency und unterstützt von Lumen, HUMAN Security, Plume, Synthient und TrendAI, nahm Videostrongs Kontrolldomains und -server offline sowie Command-and-Control-Domains von mehr als einem Dutzend Malware-Familien, die über die Backdoor geladen wurden. Google verbot Videostrong und künftigen Tochterfirmen zudem, zertifizierte Android-Geräte zu bauen oder zu verkaufen oder Software an andere zertifizierte Hersteller zu liefern. The Register berichtet, Google habe die Geschäftsbeziehung beendet; Videostrong reagierte nicht auf Anfragen. Google hat nach eigenen Angaben die Firmware-Integritätsprüfung für zertifizierte Android-TV-Geräte verschärft und den Prüfprozess geändert, doch das strukturelle Problem bleibt. Die Zertifizierung testet ein Gerät vor der Auslieferung; der schädliche Code wurde nach dem ersten Start geladen – genau in dem Fenster, das diese Tests nicht abdecken. Bereits ausgelieferte Geräte behalten das Implantat, bis die Firmware ersetzt wird; TrendAI zufolge braucht es Herstellerreaktion, Plattformschutz oder ein neues Gerät.Praktische Schritte für Nutzer und Käufer
- Jedes Modell auf der von Synthient veröffentlichten Liste gilt als hohes Risiko; vom vertrauenswürdigen Netz isolieren oder ersetzen.
- Die dokumentierten Bootstrap- und MQTT-Domains am Router oder DNS-Resolver blockieren.
- Smart-TVs, Boxen und Haushaltsgeräte in ein separates VLAN oder Gästenetz ohne Route zu Verwaltungsschnittstellen legen.
- Misstrauisch sein bei Apps, die für ungenutzte Bandbreite oder das Teilen der Internetverbindung zahlen; Google nennt stille Anmeldung ohne Einwilligung als häufigsten Weg in Proxy-Netze.
- Play Protect aktiviert lassen und Geräte von Herstellern aus der Liste zertifizierter Android-TV-Partner bevorzugen.