Google hat gemeinsam mit Partnern aus Industrie und Strafverfolgung ein Botnetz zerschlagen, das mehr als 1,3 Millionen Android-Set-top-Boxen umfasste. Das Besondere: Nach Darstellung der Google Threat Intelligence Group wurde die Hintertür nicht von Kriminellen eingeschleust, sondern vom Hersteller selbst. Google geht „mit hoher Sicherheit“ davon aus, dass die Shenzhener Firma Videostrong Technology Co. das Botnetz absichtlich entwickelt, verbreitet und aus finanziellen Motiven betrieben hat.

Zugang an Kriminelle verkauft

Laut Google verkaufte Videostrong den Zugang zu den infizierten Geräten an kriminelle Partner und lud deren Schadmodule auf die Boxen. Diese Module betrieben Werbebetrug, nahmen die Geräte heimlich in sogenannte Residential-Proxy-Netze auf und installierten weitere Schadsoftware. Über solche Proxys leiten Dritte ihren Datenverkehr über private Internetanschlüsse, was Angriffe und Betrug schwerer zurückverfolgbar macht. Die Besitzer der Geräte bekamen davon nichts mit.

Die Schadsoftware steckte laut Google über mehrere Jahre in zahlreichen Gerätemodellen und Marken. Videostrong habe Verschleierungstechniken genutzt, um eine Lücke in Googles Kompatibilitäts- und Sicherheitstests auszunutzen und den Schadcode erst nach dem ersten Start nachzuladen. Google hat seine Prüfprozesse nach eigenen Angaben entsprechend angepasst.

Rechtliche Schritte und Ausschluss

Google ging juristisch gegen die Domains und Server vor, mit denen das Botnetz gesteuert wurde, ebenso gegen Steuerserver von mehr als einem Dutzend Schadsoftware-Familien, die über die Hintertür verteilt wurden. Weil diese Partner ihre Module auch über andere Kanäle verbreiten, schätzt Google, dass mindestens zehn Millionen weitere kompromittierte Geräte vom Netz abgeschnitten werden. An der Aktion beteiligt waren unter anderem die japanische Nationalpolizei, Lumen, HUMAN Security, Plume, Synthient und TrendAI.

Google hat die Geschäftsbeziehung zu Videostrong beendet. Laut The Verge darf das Unternehmen keine zertifizierten Android-Geräte mehr bauen oder verkaufen und keine Software dafür liefern. Sicherheitsjournalist Brian Krebs weist darauf hin, dass zu den zusätzlich abgeschnittenen Systemen auch andere vernetzte Geräte gehören, etwa Android-basierte Medizingeräte und Karaoke-Maschinen. Residential-Proxy-Dienste seien eine wichtige Quelle für unerwünschten Datenverkehr, von Kontoübernahmen über Werbebetrug bis zum massenhaften Abgreifen von Inhalten für KI-Projekte.

Billige Boxen als Risiko

Günstige Android-Boxen ohne bekannte Marke sind im Onlinehandel weit verbreitet. Viele laufen mit veralteten Android-Versionen ohne Play-Protect-Zertifizierung. Wer ein solches Gerät betreibt, sollte prüfen, ob es von Google zertifiziert ist, und es im Zweifel vom Netz nehmen oder in ein separates Gastnetz verbannen. Auffälliger Datenverkehr im Router kann ein Hinweis auf Missbrauch sein.

Google betont selbst, dass die Abschaltung kein Endpunkt ist. Betreiber von Hintertüren, Werbebetrugsringe und Proxy-Anbieter bildeten eine vernetzte Lieferkette, die nur durch fortgesetzte Maßnahmen dauerhaft gestört werden könne.