Google schaltet Videostrong-Hintertür in Android-TV-Boxen ab

So funktionierte die Masche

Synthient fand heraus, dass die Lücke Angreifern Rechte auf Systemebene gab, vom Dateimanagement bis zur Ausführung von Code aus der Ferne. Videostrong verkaufte den Zugang laut Google an kriminelle Partner, die eigene Schadmodule installierten. Diese betrieben Werbebetrug, banden Geräte unbemerkt in Residential-Proxy-Netzwerke ein und luden weitere Malware nach.

Als OEM und ODM zertifizierter Geräte durfte Videostrong Google-Apps vorinstallieren, was den Produkten zusätzliche Glaubwürdigkeit verlieh. Google zufolge nutzte das Unternehmen Verschleierung, um eine Lücke in den Kompatibilitäts- und Sicherheitstests auszunutzen: Der Schadcode wurde erst nach dem ersten Start nachgeladen. Google hat sein Prüfverfahren inzwischen angepasst.

Googles Gegenmaßnahmen

Google nahm die Server und Domains vom Netz, über die Malware installiert, XCPE gesteuert und weitere Schadsoftware verteilt wurde, ebenso die Command-and-Control-Domains der Affiliate-Module. Zudem darf Videostrong samt aktueller und künftiger Tochterfirmen keine zertifizierten Android-Geräte mehr herstellen oder vertreiben und auch keine Software an andere zertifizierte Hersteller liefern.

Synthient und die Google Threat Intelligence haben technische Berichte veröffentlicht. Die Forscher raten Besitzern, die Boxen zu überprüfen oder nicht mehr zu nutzen. Offen ist, was mit Geräten der betroffenen Marken geschieht, die weiterhin über Händler verkauft werden.