Google legt x.cpe-Botnet mit 1,3 Millionen Android-Geräten lahm – Hersteller soll Hintertür verkauft haben

Videostrong mit Sitz in Shenzhen fertigt Android-TV-Boxen und andere Geräte unter eigenem Namen sowie für Fremdmarken. Die Hintertür war über mehrere Jahre hinweg in zahlreiche Modelle und Marken eingebaut. Google geht nicht davon aus, dass ein abtrünniger Mitarbeiter oder ein Versehen dahintersteckt.

Mit juristischen Mitteln ließ Google die Domains und Server abschalten, über die das Botnet gesteuert wurde, ebenso die Steuerdomains von mehr als einem Dutzend Schadsoftware-Familien, die über die Hintertür nachgeladen wurden. An der Operation beteiligt waren die japanische National Police Agency, Lumen, HUMAN Security, Plume, Synthient und TrendAI. Da die Kriminellen hinter dieser Schadsoftware sie auch auf anderen Wegen verbreiteten, erwartet Google, ihnen zusätzlich den Zugriff auf mindestens zehn Millionen weitere infizierte Geräte zu nehmen. Zugleich warnt der Konzern, dass Betreiber solcher Hintertüren und ihre Kunden schnell auf neue Werkzeuge ausweichen, wenn ein Teil ihrer Infrastruktur gestört wird.

Google hat die Geschäftsbeziehungen zu Videostrong beendet und dem Unternehmen samt künftiger Tochter- und Partnerfirmen untersagt, zertifizierte Android-Geräte zu bauen oder zu verkaufen sowie Software an andere zertifizierte Gerätehersteller zu liefern.

Was die Hintertür konnte

Nach Googles Analyse läuft x.cpe als System-App in der Firmware mit Systemrechten, meldet sich bei den Command-and-Control-Servern des Botnets und wartet auf Befehle. Um Software unbemerkt zu installieren, schaltet sie zunächst die App-Prüfungen von Google Play Protect ab. Über die Hintertür konnten die Betreiber Apps ohne Wissen der Besitzer installieren, Befehle ausführen, den Bildschirm abgreifen und das Netzwerk kartieren, in dem die Box steht.

Google beobachtete, dass Videostrongs Betreiber einen Teil dieser Möglichkeiten tatsächlich nutzten: Sie fertigten Live-Screenshots an, sendeten Tastatureingaben, kopierten Kontodaten, Geräteinformationen, App-Listen und Systemprotokolle heraus und öffneten Reverse Shells, also eine Kommandozeile aus der Ferne.

Die meisten Zusatzmodule, die über die Hintertür nachgeladen wurden, machten die Boxen zu Residential Proxies oder verkauften deren ungenutzte Bandbreite. Ein solcher Dienst vermietet Zugang zu einem privaten Internetanschluss, sodass der Datenverkehr eines Kunden wie aus einem gewöhnlichen Haushalt wirkt. Andere Module täuschten Aufrufe von Online-Werbung vor. Die meisten infizierten Geräte sind Android-TV-Boxen, die Hintertür tauchte aber auch auf Telemedizin-Geräten, Karaoke-Maschinen und Digital-Signage-Systemen auf.

TrendAI, die Unternehmenssparte von Trend Micro, zählte zwischen dem 3. Juni und dem 1. Oktober 1.472.554 infizierte Geräte über 206 Modelle hinweg und geht davon aus, dass die tatsächliche Zahl mindestens so hoch liegt. Die meisten Fälle entfielen auf Malaysia, Brasilien, Irak, Mexiko und Taiwan. Auf die USA, Deutschland, Großbritannien, Australien und Kanada kamen jeweils rund 26.000 bis 42.000 Geräte.

Was Besitzer tun können

Synthient, das Proxy-Netzwerke und Botnets verfolgt, hat eine Liste mit 182 Modellbezeichnungen veröffentlicht, die in der Kampagne auftauchten – mit dem Hinweis, dass ein Modellname allein eine Infektion nicht belegt. Der Bericht konzentriert sich auf Boxen der Marke MECOOL, die Synthient mit Videostrong verbindet; bei einer gekauften MECOOL KM9PRO Max war die Hintertür vorinstalliert. Plume, Anbieter von WLAN-Software für Internetprovider, fand mehr als ein Dutzend verschiedener Geräte, die den Steuerserver des Botnets kontaktierten, die meisten davon von MECOOL.

Da x.cpe Teil der Firmware ist, bleibt eine Entfernung nicht bestehen: Beim Neustart installiert sich die Komponente erneut. TrendAI verweist darauf, dass die Hintertür als System-App mit dem Schlüssel des Herstellers signiert ist; eine Bereinigung erfordere deshalb „Maßnahmen des Herstellers, Schutz auf Plattformebene oder den Austausch des Geräts". Plume empfiehlt ein vollständiges Zurücksetzen auf Werkseinstellungen, weil die Module weitere Hintertüren installiert haben könnten, sagt aber nicht, ob damit x.cpe selbst verschwindet. Synthient rät Verbrauchern, die Boxen endgültig zu entsorgen, da sie ein hohes Schadsoftware-Risiko darstellten.

Organisationen empfiehlt Synthient:

• mit den veröffentlichten Indikatoren MECOOL- oder ähnliche Geräte im Netz aufzuspüren,
• gefundene Geräte vom Netz zu nehmen und zu entsorgen,
• die im Bericht genannten Steuerdomains und IP-Adressen zu sperren,
• andere smarte Geräte in eigenen Netzsegmenten fernab sensibler Systeme zu betreiben.

TrendAI rät Unternehmen mit Beschäftigten im Homeoffice, nicht verwaltete Consumer-Geräte in Heimnetzen als Teil der Angriffsfläche zu betrachten und Firmenzugänge nur über verwaltete Geräte zuzulassen.

Wie Videostrong identifiziert wurde

Laut Google reicht x.cpe Einstellungen vom C2-Server an andere Videostrong-Apps weiter, darunter die Streaming-App YokaTV Player. Eines der GitHub-Konten, das Pakete des Botnets hostete, heißt yf-videostrong. Synthient, das mit Google zusammenarbeitete, kommt ebenfalls mit hoher Zuversicht zu dem Schluss, dass Videostrong die Operation betreibt: In einem offenen Verzeichnis auf einem der Botnet-Server fand sich ein Dokument, das der Forschungs- und Entwicklungsleiter von Videostrong unterzeichnet hat; zudem teilt sich eine Webdomain von Videostrong eine IP-Adresse mit dem Steuerungspanel der Betreiber. Plume stellte fest, dass Videostrong sowohl die Firmware dieser Geräte als auch Werkzeuge zu deren Fernverwaltung liefert.

Lücke in Googles Gerätetests

Google verlangt von Geräteherstellern Kompatibilitäts- und Sicherheitstests. Videostrong habe seinen Code verschleiert, um eine Lücke in diesen Tests zu umgehen, und den schädlichen Code erst nach dem ersten Start eines Geräts nachgeladen. Google hat sein Prüfverfahren geändert und verbessert die Kontrolle der Firmware zertifizierter Android-TV-Geräte.

Auf der eigenen Website führte Videostrong am 2. November weiterhin Produkte, die als „Google Certified Android TV Box" und „Google Certified Android TV Stick" beworben werden. Plume zufolge gehörten dem Botnet sowohl Google-zertifizierte Geräte als auch solche mit der AOSP-Variante von Android an; wie viele zertifizierte Geräte betroffen waren, nennt Googles Bericht nicht. Als Google im Juli 2025 gegen das Botnet BadBox 2.0 klagte, waren die mehr als zehn Millionen beteiligten Geräte durchweg nicht zertifiziert.