Google teilt mit, das Botnetz x.cpe abgeschaltet zu haben, das zu seinem Höhepunkt auf mehr als 1,3 Millionen Android-TV-Geräten aktiv war. Die betroffenen Boxen waren von Google zertifiziert, und viele wurden laut Googles Threat Intelligence Group unter der Marke MECOOL von dem in Shenzhen ansässigen Unternehmen Videostrong Technology verkauft.
Google erklärte, dass seine Zertifizierungsprüfungen die Schadsoftware aufgrund von Verschleierungstechniken nicht erkannten. Statt während der Zertifizierung als Schadsoftware aufzutreten, nutzten die kompromittierten Geräte eine Hintertür, um nach der Einrichtung und der Verbindung mit dem Internet aus der Ferne Schadsoftware zu installieren.
Sobald die Boxen online waren, nahmen sie über eine kleine Anwendung namens x.cpe oder com.oemservice Kontakt zu einem Betreiber auf. Die App selbst enthielt keine schädlichen Funktionen, verfügte jedoch über Berechtigungen auf Systemebene, mit denen sie zusätzliche Module installieren konnte. Außerdem deaktivierte sie Google Play Protect, das diese Pakete andernfalls möglicherweise erkannt hätte.
Die Schadsoftware entwickelte sich Berichten zufolge von einem einfachen Dropper zu einer Plattform mit drei Stufen, die Dritten Zugang bot. Google stellte fest, dass viele infizierte Geräte als Residential Proxies genutzt wurden, um große Datenverkehrsmengen weiterzuleiten oder Werbebetrug zu betreiben. Videostrong hatte außerdem weitreichenden Zugriff auf die Boxen, darunter die Möglichkeit, Terminalbefehle auszuführen, Bildschirme aufzuzeichnen und andere Geräte in lokalen Netzwerken zu überprüfen. Google erklärte, beobachtet zu haben, wie das Unternehmen diesen Zugriff in Echtzeit nutzte.
Google teilt mit, die Geschäftsbeziehungen zu dem Unternehmen hinter der Kampagne beendet zu haben.
Quellen: Ars Technica.