Google ontmantelt Android-botnet van 1,3 miljoen apparaten: Videostrong verliest certificering
Google heeft juridische stappen gezet om de command-and-controlinfrastructuur achter x.cpe offline te halen, een backdoor die vooraf in Android-firmware zit en die TrendAI tussen 3 juni en 1 oktober 2026 op 1.472.554 apparaten telde. Het aantal omvat 206 modellen, vooral Android TV-settopboxen, en Google noemt het een ondergrens, geen plafond. In de eigen analyse stelt het bedrijf dat het afsluiten van de affiliateservers van het botnet ook de toegang moet afsnijden tot minstens 10 miljoen andere gecompromitteerde apparaten, omdat dezelfde criminele groepen malware via andere kanalen verspreiden.
Wat de backdoor kon
x.cpe, ook gevolgd als com.oemservice, draait als systeemapp met de rechten van android.uid.system. Het zit in de firmware-image en wordt niet later geïnstalleerd, dus een fabrieksreset verwijdert het niet: het pakket wordt bij herstart teruggezet vanuit de /oem/-partitie. Volgens het threat-intelligenceteam van Google schakelt de implant de app-verificatie van Play Protect uit door package_verifier_user_consent op -1 te zetten en opent het daarna een permanent MQTT-kanaal naar de operators. De analyse van TrendAI, samengevat bij The Hacker News, beschrijft een tweetrapsopzet waarin een HTTP-bootstrapverzoek het apparaat zijn commandoserver geeft.- Apps stil installeren en verwijderen
- Willekeurige shell-commando's uitvoeren, inclusief reverse shells
- Scherm vastleggen en toetsaanslagen injecteren
- Accountgegevens, app-lijsten en systeemlogboeken verzamelen
- Het lokale subnet verkennen
- Herinstallatie na herstart vanuit de firmwarepartitie
Residentiële proxies waren het product
De meeste monetisatiemodules maakten van besmette hardware uitgangsknooppunten voor residentiële proxies of verkochten ongebruikte bandbreedte. Het rapport van Google noemt proxy-SDK's als Linkfog, Jaguar, AppSalt, BWM, GaGaNode, NetNut en Traffmonetizer, en merkt op dat één apparaat er tot drie tegelijk kon draaien. Andere modules, gevolgd als Spirit, Moyu, Bird, Fission en HiddenView, genereerden nep-advertentievertoningen. Een residentieel proxynetwerk is alleen zoveel waard als de diversiteit en reputatie van zijn uitgangs-IP's, en consumentenapparaten in huis leveren precies dat: adressen die op gewone breedbandabonnees lijken en niet op datacenterreeksen. Kopers van die capaciteit leiden er scraping, credential stuffing en fraude doorheen die anders geblokkeerd zou worden. Staat het uitgangsknooppunt in een tv-box in iemands woonkamer, dan wordt het verkeer aan die huisaansluiting toegeschreven.Een fabrikant die zijn gebruikers opzettelijk met malware besmet, schendt het vertrouwen op onaanvaardbare wijze en vormt een ernstig risico voor die mensen. - GoogleWie netwerkidentiteit als operationele kwestie ziet, moet hieruit meenemen dat een gecompromitteerd apparaat verkeer over je lijn kan sturen dat je niet hebt gemaakt. Dezelfde redenering geldt voor de hardware waarmee je Tor bereikt of iets gevoeligs beheert; de algemene checklist staat in onze gids over apparaatbeveiliging voor Tor.
Toeschrijving: een ondertekend document en een gedeeld IP
Google zegt er zeer zeker van te zijn dat het in Shenzhen gevestigde Videostrong Technology de backdoor bewust heeft ontwikkeld, uitgerold en beheerd, en toegang aan criminele affiliates heeft verkocht. Het bewijs omvat een document ondertekend door Videostrongs R&D-directeur dat op een botnetserver is gevonden, een Videostrong-domein dat naar hetzelfde IP wijst als het bedieningspaneel van de operators, een GitHub-account genaamd yf-videostrong voor het hosten van releases, en x.cpe dat commandoserverinstellingen doorgeeft aan andere Videostrong-apps zoals YokaTV Player. Charley Snyder van Google zei tegen CyberScoop dat de operators hun configuraties voortdurend aanpasten om detectie voor en na de lancering te ontwijken. Synthient, een van de partners bij de ontmanteling, kwam onafhankelijk tot dezelfde conclusie. Het bedrijf kocht een MECOOL KM9PRO Max in de winkel en vond de backdoor vooraf geïnstalleerd, en publiceerde daarna een lijst van 182 modelnamen die in de campagne zijn gezien, met de kanttekening dat een modelnaam op zichzelf niet bewijst dat een exemplaar besmet is. Plume, leverancier van software voor router- en apparaatbeheer, vond meer dan een dozijn apparaattypen die met de controleserver van het botnet praatten, vooral van het merk MECOOL.De ontmanteling en wat er blijft liggen
De actie, uitgevoerd met het Japanse National Police Agency en gesteund door Lumen, HUMAN Security, Plume, Synthient en TrendAI, haalde Videostrongs controledomeinen en -servers offline, plus command-and-controldomeinen van meer dan een dozijn malwarefamilies die via de backdoor werden geladen. Google verbood Videostrong en toekomstige dochterbedrijven ook om gecertificeerde Android-apparaten te bouwen of te verkopen of software aan andere gecertificeerde fabrikanten te leveren. The Register meldt dat het bedrijf de banden met de leverancier heeft verbroken; Videostrong reageerde niet op verzoeken om commentaar. Google zegt de firmware-integriteitscontrole voor gecertificeerde Android TV-apparaten te hebben verscherpt en het beoordelingsproces te hebben aangepast, maar het structurele probleem blijft. Certificering test een apparaat voordat het wordt verscheept; de schadelijke code werd na de eerste start geladen, precies het venster dat die tests niet dekken. Apparaten die al in het veld staan, houden de implant tot de firmware wordt vervangen, en volgens TrendAI is herstel alleen mogelijk met actie van de fabrikant, platformbescherming of vervanging van het apparaat.Praktische stappen voor eigenaren en kopers
- Behandel elk model op de door Synthient gepubliceerde lijst als hoog risico; isoleer het van vertrouwde netwerken of vervang het.
- Blokkeer de gedocumenteerde bootstrap- en MQTT-domeinen op de router of DNS-resolver.
- Zet smart-tv's, boxen en huishoudapparaten in een aparte VLAN of gastnetwerk zonder route naar beheerinterfaces.
- Wees wantrouwend tegenover apps die betalen voor ongebruikte bandbreedte of het delen van je internet; Google noemt stille aanmelding zonder toestemming de meest voorkomende route naar proxynetwerken.
- Houd Play Protect aan en geef de voorkeur aan apparaten van fabrikanten op de lijst van gecertificeerde Android TV-partners.