Google hat einen kriminellen Betrieb gestört, der Hintertüren nutzte, die laut dem Unternehmen werkseitig auf mehr als 1,3 Millionen Geräten installiert worden waren. Die Malware war vom Hersteller in die Systempartition eingebettet worden und nicht durch eine versehentlich offengelegte Sicherheitslücke oder eine von einem Nutzer installierte App auf die Geräte gelangt.
An dem Betrieb war Videostrong beteiligt, ein Unternehmen, das Geräte zusammenbaute und Software für Hunderte international vertriebene Modelle bereitstellte. Die Boxen waren so konfiguriert, dass sie sich mit externen Command-and-Control-Servern verbanden, sobald sie mit dem Internet verbunden wurden.
Die als XCPE identifizierte schädliche Komponente deaktivierte Integritätsprüfungen und Google Play Protect. Infizierte Geräte konnten sich daraufhin einem Botnetz anschließen, ohne dass dies die Videowiedergabe offensichtlich beeinträchtigte. Ihre Rechenleistung und ihre privaten Internetverbindungen wurden an Dritte verkauft und für Proxy-Datenverkehr, automatisierte Werbeaufrufe und unbefugte Datenerfassung genutzt.
Google zufolge legte das Unternehmen die zentralen Domains still, über die Befehle an das Netzwerk gesendet wurden, und unterband damit den direkten Zugriff auf mehr als 10 Millionen kompromittierte Geräte. Außerdem entzog es offizielle Lizenzen und untersagte Videostrong und verbundenen Unternehmen, weitere für sein System zertifizierte Geräte herzustellen.
Durch die Stilllegung wird die Malware nicht von bereits genutzten Boxen entfernt. Da der Code in der Root-Partition des Flash-Speichers gespeichert ist, beseitigt ein Zurücksetzen auf Werkseinstellungen die Malware nicht; nach einem Neustart wird der Dienst wieder aktiv. Obwohl externe Maßnahmen die Kommunikation mit den schädlichen Domains blockiert haben, bleiben die Geräte technisch anfällig.
Quellen: Pplware.