Die Threat Intelligence Group von
Google informiert über eine XCPE-Backdoor in Android, über die mehr als 1,3 Millionen Android-TV-Settop-Boxen und weitere Android-Geräte aller möglichen Marken, darunter laut Medienberichten Digital-Signage-Displays, Karaokemaschinen und sogar Hardware für Telemedizin, zu einem riesigen Botnetz vereint wurden. Dies sei über Jahre hinweg geschehen. Inzwischen hat Google die Backdoor geschlossen und weitere Massnahmen ergriffen, um solche Vorfälle künftig nicht mehr zu ermöglichen.
"Wir gehen mit hoher Sicherheit davon aus, dass die Backdoor und das Botnetz von Videostrong Technology gezielt entwickelt, eingesetzt und betrieben wurden, um finanziellen Gewinn zu erzielen", hält Google
in dem Blogbeitrag fest, der über die Fakten der Kompromittierung hinaus eine ausführliche technische Erklärung enthält. Bei Videostrong handelt es sich um einen OEM-Hersteller für Android-basierte Hardware, der auch als ODM (Original Design Manufacturer) tätig ist. Videostrong habe die Hintertür zur Monetarisierung genutzt, indem es kriminellen Partnern Zugriff gewährte und deren Malware-Module auf infizierte Geräte lud. Diese sekundären Malware-Module dienten unter anderem dem Werbebetrug und bauten die infizierten Geräte von den Nutzern unbemerkt in Proxy-Netzwerke für Privathaushalte ein. Ausserdem konnte damit zusätzliche Schadsoftware auf Geräte aufgespielt werden, die schon mit XCPE infiziert waren.
Google hat die Geschäftsbeziehungen mit Videostrong abgebrochen und das Unternehmen davon ausgeschlossen, Geräte mit vorinstallierten Google-Apps herstellen zu dürfen. Zwar werden OEMs von
Google seit jeher umfassenden Kompatibilitäts- und Sicherheitstests unterworfen, Videostrong habe aber Verschleierungstechniken angewendet, um eine Lücke in diesen Tests auszunutzen und nach dem ersten Start des Geräts Schadcode zu laden. Inzwischen hat Google seinen Review-Prozess angepasst, um derartige Aktivitäten in Zukunft zu unterbinden. "Wenn ein Gerätehersteller seine Nutzer absichtlich mit Malware infiziert, stellt dies einen inakzeptablen Vertrauensbruch dar und birgt ein ernstes Risiko für diese Nutzer", betont Google weiter.
Welche Geräte und Modelle genau von der Lücke und darüber installierter Malware betroffen sind, ist nicht bekannt. Da die dahinterstehenden Cyberkriminellen die Malware-Module höchstwahrscheinlich auch über andere Kanäle als Videostrong verteilt haben, rechnet Google mit mindestens zehn Millionen zusätzlichen kompromittierten Geräten.
(ubi)
