Kaspersky hat eine neue Backdoor entdeckt, die sich tief in die Firmware von Android-Tablets verschiedener Marken einnistet und die Geräte vielfältig verwundbar macht. Genannt Keenadu, wurde die Schwachstelle zuerst im Alldocube-Tablet iPlay 50 Mini Pro entdeckt, und zwar eingebettet in Firmware, die bis zum 18. August 2023 zurückgeht. Die Firmware-Dateien sind dabei gültig digital signiert. Die Namen anderer betroffener Marken nennt
Kaspersky nicht. Weltweit sollen insgesamt 13'715 User Keenadu oder eines seiner Module auf ihren Geräten entdeckt haben. Die meisten betroffenen Nutzer stammen aus Russland, Japan, Deutschland, Brasilien und den Niederlanden.
Die
Entdeckung von Keenadu folgt auf diejenige einer neuen Iteration der Backdoor Triada vom April 2025. Keenadu funktioniert mehr oder weniger identisch, bettet sich ebenso in die Firmware ein – konkret in die Bibliothek libandroid_runtime.so – und kann jede App kompromittieren, die auf dem Gerät gestartet wird. Kaspersky berichtet überdies davon, dass die Schadsoftware direkt in Systemfunktionen wie dem Gesichtserkennungsdienst oder dem Launcher zu finden war. Eine weitere Erkenntnis von Kasperskys Untersuchungen: Es besteht eine Verbindung zu den verbreitetsten Android-Botnetzen wie Triada, Badbox und Vo1d.
Angreifer können über die Backdoor sensible Daten wie Anmeldeinformationen von Messaging-Apps und Social-Media-Plattformen abgreifen sowie weitere Malware laden. Virenschutzsoftware erkennt den Schädling üblicherweise nicht. Die manipulierte Firmware gerät bereits bei der Produktion der Geräte auf die Tablets oder aber später bei einem OTA-Update. Darüber hinaus finden sich in Android-Appstores, sogar im Google Play Store, mit dem Keenadu-Trojaner infizierte Apps, die laut dem Bericht über 300'000 Mal heruntergeladen wurden.
Wer die Keenadu-Backdoor entdeckt oder vermutet, kann laut Kaspersky nicht viel tun, ausser auf eine bereinigte Firmware zu warten. Danach soll man mithilfe einer verlässlichen Sicherheitslösung überprüfen, ob das Problem beseitigt wurde. Bis die Firmware ersetzt oder aktualisiert wurde, soll man das infizierte Gerät nicht mehr verwenden.
(ubi)
