Google legt Botnetz lahm, beschuldigt Hersteller von Android-Set-Top-Boxen

Googles Threat Intelligence Group (GTIG) meldet einen Schlag gegen das Botnetz XCPE. Zusammen mit mehreren Partnern, darunter die nationale Polizeibehörde Japans, habe man zugehörige Kontrollinfrastrukturen (Command & Control, C2) abgeschaltet. Darüber seien über eine Million infizierte Geräte fremdgesteuert worden. Primär seien Set-Top-Boxen auf Basis von Android betroffen.

Google beschuldigt den Hersteller der Boxen, das chinesische Unternehmen Videostrong Technology Co., schwer. Die Firma soll die Malwarekampagne absichtlich gestartet haben. Man glaube nicht, dass es sich um ein Versehen oder die Handlungen eines einzelnen böswilligen Insiders bei der Firma handele. Vielmehr komme GTIG mit großer Zuversicht („high confidence“) zu dem Schluss, dass Videostrong – ein Android-OEM – das Botnetz absichtlich und als Geschäftsmodell entwickelt, verbreitet und betrieben habe.

Folgerichtig erklärt Google, dass Videostrong und mögliche zukünftige Tochterfirmen oder Geschäftspartner des Unternehmens keine zertifizierten Android-Geräte mehr bauen oder verkaufen dürfen. Außerdem sei dem Unternehmen nun verboten, anderen zertifizierten Android-Anbietern Software zuzuliefern. Darüber hinaus gehe Google juristisch gegen Domains und Server von Videostrong vor, über die XCPE kontrolliert worden war, und gegen weitere C2-Infrastrukturen von über einem Dutzend Malwarefamilien, die via XCPE ausgeliefert worden seien. Auf eine Anfrage von heise online reagierte Videostrong nicht unmittelbar. Wir werden den Artikel per Update ergänzen, falls wir eine Antwort erhalten.

Google zufolge hat der Konzern auch die eigenen Maßnahmen verbessert, mit denen die Integrität der Firmware zertifizierter Android-Geräte sichergestellt werden soll. XCPE habe Lücken in Googles Tests ausgenutzt und bösartigen Code erst nach dem erstmaligen Boot eines Gerätes nachgeladen. Darauf habe Google inzwischen mit einem verbesserten Review-Prozess reagiert.

Komplexe Malware

Die Malware XCPE besteht dem GTIG-Bericht zufolge aus drei Stufen. Eine initiale Komponente, die Google x.cpe nennt, ist über die Firmware-Partition vorinstalliert. Selbst wenn Nutzer sie entfernen, wird sie beim nächsten Reboot des Android-Geräts aus der OEM-Partition wiederhergestellt. x.cpe ist – zumindest in neueren Iterationen der Malware – sehr minimal gehalten, vermutlich um einer Entdeckung zu entgehen.

x.cpe kontaktiert Services des Botnetz-Betreibers per HTTP, übermittelt Daten zum infizierten Gerät und lädt Konfigurationen für nachgelagerte Schadsoftware-Module herunter. Diese anfängliche Kommunikation lief über unterschiedliche Subdomains, je nach vorgefundener Android-Version. Nach der ersten Konfiguration per HTTP bleibt die Malware über das IoT-Protokoll MQTT mit der Angreifer-Infrastruktur in Kontakt. Außerdem bietet x.cpe eine Möglichkeit der Interprozesskommunikation. Unterschiedliche Module der Malware können so Androids App-Isolation umgehen und miteinander reden.

Um den Start dieser Module kümmert sich eine zweite Stufe der Malware, bei der es sich meist um eine Komponente namens com.abc.nexus handelt. In jüngster Zeit ersetzten die Betreiber diesen Loader laut GTIG zunehmend durch spezialisierte Dropper, die jeweils nur ein einzelnes Modul laden. com.abc.nexus versucht sich selbst und nachgeladene Malwaremodule mit verschiedenen Anti-Analyse-Techniken zu schützen. Dann aktiviert sie – je nach Konfiguration – die gewünschten Module, die teilweise direkt in der Malware enthalten sind und teilweise aus dem Internet nachgeladen wurden. Das geschah für den betroffenen Nutzer nicht erkennbar: Die Malware deaktivierte die übliche Abfrage vor dem Ausführen fremder Apps und schaltete auch Googles Schutzsystem Play Protect aus.

Die meisten der Malwaremodule spannten das infizierte Gerät als „residential proxy“ ein, leiteten also fremden Datenverkehr über den Internetanschluss des Eigentümers, was gerne von Kriminellen genutzt und entsprechend entlohnt wird. Andere nachgeladene Module nutzten das infizierte Gerät aber auch, um im Hintergrund Werbung zu laden und für diese vermeintlichen Impressions zu kassieren. Eine ganze Reihe Module diente dazu, weitere Malware nachzuladen. XCPE konnte mehrere dieser Module parallel auf einem Gerät ausführen und enthielt sogar Mechanismen, um den Ressourcenverbrauch und die Priorisierung einzelner Module zu kontrollieren.

Daneben verschaffte XCPE den Botnetz-Betreibern direkten Shellzugriff mit weitreichenden Rechten auf betroffene Geräte, griff Screenshots ab und ließ sich zur Fernsteuerung wie bei einer Remote-Desktop-Verbindung nutzen. Außerdem konnten die Angreifer über XCPE das Netzwerk des betroffenen Nutzers erkunden.

Lesen Sie auch

Zahlreiche betroffene Geräte

Google zufolge umspannte das XCPE-Botnetz über 1,3 Millionen Android-Geräte. Neben Set-Top-Boxen für Fernseher, die den Großteil ausmachten, seien auch andere IoT-Geräte betroffen gewesen, etwa Telemedizin-Geräte, Karaokemaschinen und digitale Anzeigetafeln. Das Unternehmen Synthient – einer der am Schlag gegen das Botnetz beteiligten Partner – berichtet, auch die Marke Mecool Videostrong zuordnen zu können. Set-Top-Boxen dieser Marke gehören Synthient zufolge ebenfalls zum Botnetz.

Überdies haben viele der nachgeladenen Malwaremodule eigene C2-Server genutzt, die im Zuge der Aktion teilweise ebenfalls deaktiviert werden konnten. Diese Malwaremodule wurden auch auf anderen Wegen als über das XCPE-Botnetz verteilt. GTIG schätzt deshalb, dass Malware auf mindestens 10 Millionen weiteren Geräten, die auf anderen Wegen infiziert worden waren, durch die Aktion von ihren Betreibern abgeschnitten wurde.

Der Blogpost von Googles Threat Intelligence Group schließt mit umfangreichen Listen von Indicators of Compromise (IoC), mit denen – bei ausreichender technischer Expertise – potenziell betroffene Geräte auf eine XCPE-Infektion untersucht werden können. Allen anderen rät GTIG, Geräte nur von gut beleumundeten Herstellern zu kaufen. Ein etwas wohlfeiler Ratschlag, schließlich war Videostrong ein zertifizierter Android-OEM. Synthient empfiehlt Besitzern betroffener Geräte, diese dauerhaft zu entsorgen, da sie mit hoher Wahrscheinlichkeit weitere Malware enthalten. Danach sollten eventuell kompromittierte Zugangsdaten wie WLAN-Passwörter geändert werden. Grundsätzlich empfiehlt es sich, IoT-Geräte nur in ein isoliertes Netz zu lassen.

(syt)