Michael JohnsonBesitzer einer Android-TV-Box mit Firmware des Herstellers Videostrong sollten die Herkunft ihres Geräts überprüfen: Am 2. November teilte Google mit, gemeinsam mit Partnern das XCPE-Botnetz gestört zu haben, dem mehr als 1,3 Millionen Set-Top-Boxen angehörten. Im Rahmen der Operation setzte sich Google für die Abschaltung von Steuerungsservern und Schadsoftware-Domains ein; Videostrong wurde untersagt, zertifizierte Android-Geräte mit vorinstallierten Google-Apps herzustellen. Google beschrieb die Operation als Reaktion auf eine in die Firmware bestimmter Modelle integrierte Hintertür.
Was genau wurde abgeschaltet?
Nach Angaben der Google Threat Intelligence Group nutzte XCPE die in die Firmware integrierte Komponente x.cpe. Sie verband sich mit einem Steuerungsserver, empfing Befehle und lud zusätzliche Module herunter. Google teilte mit, rechtliche Schritte gegen Domains und Server eingeleitet zu haben, über die Videostrong das Botnetz steuerte und Schadkomponenten installierte, sowie gegen Steuerungsdomains von mehr als einem Dutzend Schadsoftware-Familien.
An der Operation beteiligten sich die japanische Nationale Polizeibehörde, Lumen, HUMAN Security, Plume, Synthient und TrendAI. Google erklärte außerdem, Videostrong sowie künftigen Tochter- und verbundenen Unternehmen die Herstellung und den Verkauf zertifizierter Android-Geräte und die Lieferung von Software an andere zertifizierte Hersteller untersagt zu haben. Das Unternehmen berichtete zudem von Änderungen bei der Integritätsprüfung von Android-TV-Firmware.
Die Formulierung „gestört“ ist genauer als das Versprechen, jeden Fernseher sofort zu bereinigen. Google beschreibt die Zerschlagung der Steuerungsinfrastruktur und der zugehörigen Domains; die Veröffentlichung erwähnt keine Fernkorrektur der Firmware auf sämtlichen bereits verkauften Set-Top-Boxen. Die Abschaltung der Server nimmt den Betreibern wichtige Steuerungs- und Verbreitungswege für Module, schreibt aber nicht von selbst die installierte Software um.
Warum die Infektion einen Neustart überstand
Die Schadkomponente befand sich in der Systempartition der Firmware. Google zufolge wurde x.cpe mit Systemrechten gestartet und konnte nach einem Neustart eine Kopie wiederherstellen, wenn der Nutzer eine App aus dem gewöhnlichen Datenbereich löschte. Daher garantierte der Versuch, eine verdächtige App in den Android-Einstellungen zu finden und zu löschen, keine Bereinigung der Set-Top-Box.
Die Hintertür hielt eine dauerhafte Verbindung zur Steuerungsinfrastruktur aufrecht und konnte Befehle zum heimlichen Installieren von Apps, zum Starten einer Shell und zum Sammeln von Daten empfangen. Google berichtete, Bildschirmaufnahmen, die Eingabe von Befehlen, die Übertragung von Konto- und Systeminformationen sowie die Ausführung von Skripten beobachtet zu haben. Heruntergeladene Module machten die Geräte zu Knoten in privaten Proxy-Netzen oder nutzten sie für Anzeigenbetrug; einige Module installierten zusätzliche Schadsoftware.
Dadurch wird eine gewöhnliche TV-Box Teil der Netzwerkinfrastruktur anderer. Datenverkehr über den heimischen Internetanschluss kann wie der Verkehr des Nutzers selbst aussehen, obwohl das Gerät tatsächlich Befehle eines entfernten Betreibers ausführt. Zu den von Google ermittelten Zwecken zählten auch betrügerische Anzeigenaufrufe und die Übertragung von Daten.
Was Besitzer einer Set-Top-Box tun sollten
Prüfen Sie zunächst die genaue Marke und das Modell des Geräts, den Hersteller der Firmware und die Zertifizierungsangaben. Der Markenname allein belegt keine Infektion: Google spricht von zahlreichen Modellen und Marken, auf die Videostrong-Software gelangte. Entscheidend sind daher die Herkunft des Geräts und seine Firmware. Vergleichen Sie die Angaben mit der aktuellen Liste offizieller Android-TV-Partner und den Unterlagen des Händlers oder Herstellers.
Wenn sich die Herkunft des Geräts nicht feststellen lässt oder es zum betroffenen Ökosystem gehört, trennen Sie die Set-Top-Box vom Netzwerk und wenden Sie sich an den Händler oder Hersteller, um eine bestätigte Anleitung zum Austausch oder zur Neuinstallation der Firmware zu erhalten. Ein Zurücksetzen auf Werkseinstellungen und das Löschen von Apps sollten nicht als ausreichende Lösung für eine Komponente gelten, die laut Googles Beschreibung in der Systemfirmware gespeichert ist und nach einem Neustart wiederhergestellt wird. Installieren Sie keine beliebigen Firmware-Images aus Foren: Ein fehlerhaftes Image kann das Gerät unbrauchbar machen oder neue Risiken schaffen.
Wenn Sie sich über die Set-Top-Box bei Konten angemeldet oder persönliche Informationen angezeigt haben, prüfen Sie die Aktivitäten dieser Konten von einem anderen, vertrauenswürdigen Gerät aus und ändern Sie die Passwörter, falls es Anzeichen für einen Zugriff durch Dritte gibt. Dieser Schritt schützt die Konten, bereinigt jedoch nicht die Set-Top-Box selbst. Über das weitere Vorgehen mit dem Gerät müssen Sie daher separat entscheiden.
Was nach der Operation bleibt
Google bringt XCPE mit der absichtlichen Installation und kommerziellen Nutzung der Videostrong-Hintertür in Verbindung. Das Unternehmen schätzt außerdem, dass durch die Abschaltung der Steuerungsdomains verbundener Module auch mehr als 10 Millionen kompromittierte Geräte außerhalb von XCPE den Zugriff darauf verlieren könnten. Das ist Googles Schätzung der möglichen Wirkung von Maßnahmen gegen eine gemeinsame Infrastruktur und keine bestätigte Zahl bereinigter Geräte.
Für Nutzer ist die wichtigste praktische Schlussfolgerung einfach: Wenn eine Set-Top-Box aus unbekannter Quelle stammt oder Videostrong-Firmware verwendet, bestätigen das Löschen von Apps und ein Neustart nicht zuverlässig, dass sie sauber ist. Das Modell und die Herkunft zu prüfen und das Gerät anschließend auszutauschen oder die Firmware nachweislich wiederherzustellen, ist besser begründet als der Versuch, eine einzelne sichtbare Komponente manuell zu entfernen.
