Google sperrt Videostrong: Backdoor auf 1,3 Mio. Android-Geräten

So funktionierte die Backdoor x.cpe

Die Malware x.cpe war schon bei Auslieferung auf den Geräten und diente dem Aufbau des Botnetzes XCPE. Um die Sicherheitstests der Google-Zertifizierung zu umgehen, lud sie schädlichen Code erst nach dem ersten Start des Geräts nach. Entfernten Nutzer die Software, installierte sie sich beim Neustart erneut; zudem konnte sie Google Play Protect deaktivieren.

Laut Googles Untersuchung konnten Angreifer aus der Ferne Bildschirmaufnahmen erstellen, Tastatureingaben einspeisen sowie Kontodaten und Systemprotokolle nach außen senden. Videostrong verkaufte den Zugang an externe Akteure, die eigene Schadsoftware auf die infizierten Geräte brachten.

Am häufigsten wurden die Geräte als sogenannte Residential Proxys missbraucht: Fremder Datenverkehr läuft dabei unbemerkt über den Heimanschluss der Nutzer. Auf einem Gerät fanden sich bis zu drei Proxy-Programme. Hinzu kamen Werbebetrug mit aufgeblähten Abrufzahlen und nachinstallierte weitere Schadsoftware.

Zerschlagung und Folgen

In der letzten Oktoberwoche störte Google gemeinsam mit Japans Nationaler Polizeibehörde, Lumen, HUMAN Security, Plume, Synthient und TrendAI, der KI-Sicherheitsmarke von Trend Micro, den Betrieb von XCPE. Server und Domains für Steuerung und Verteilung wurden ins Visier genommen, gegen Domains der nachgeladenen Malware gab es rechtliche Schritte.

Da sich diese Schadsoftware auch über andere Wege verbreitet, rechnet Google damit, den Zugriff der Angreifer auf mindestens 10 Millionen weitere Geräte zu unterbinden.

Um Wiederholungen zu verhindern, überarbeitet Google sein Prüfverfahren und verstärkt die Kontrolle der Firmware zertifizierter Android-TV-Geräte auf Schadcode.