Ihre Android-TV-Box könnte gerade Unterhaltung streamen, während Kriminelle Ihre Internetverbindung nutzen, um ihre Spuren zu verwischen.
Google hat das XCPE-Botnetz zerschlagen, an dem Berichten zufolge mehr als 1,3 Millionen kompromittierte Android-Geräte beteiligt waren. Nach Angaben des Unternehmens soll der Hersteller Videostrong Technology eine Hintertür in die Geräte-Firmware eingebettet haben, über die kriminelle Betreiber schädlichen Datenverkehr über die privaten IP-Adressen argloser Nutzer leiten konnten.
Google zufolge nutzten die Betreiber neben ungenutzter TV-Bandbreite zum Verbergen krimineller Aktivitäten auch Werbebetrug und verbreiteten darüber hinaus Malware.
Die Entdeckung und anschließende Abschaltung machen ein wachsendes Problem der Cybersicherheit deutlich: Nutzer müssen nichts tun, um Opfer eines bösartigen Vorgangs zu werden, wenn Angreifer die Zustimmung umgehen und direkt an der Quelle ansetzen können.
Ein OEM, über eine Million gefährdete Geräte
Google half gemeinsam mit der japanischen Nationalen Polizeibehörde, Lumen, HUMAN Security, Plume, Synthient und TrendAI Ende Oktober dabei, den Vorgang abzuschalten.
Nach den Erkenntnissen von Google beruhte das Botnetz auf einer als x.cpe bekannten Hintertür, die in die Firmware von Android-Geräten eingebettet war. Die schädliche Komponente ermöglichte es den Betreibern, kompromittierte Geräte unter anderem für Proxy-Dienste über private Anschlüsse, Werbebetrug und die Verbreitung von Malware zu nutzen.
Der Hersteller verkaufte anschließend Zugänge an kriminelle Partner, die damit Malware, Werbebetrug und Proxy-Dienste über private Anschlüsse betrieben. Es wird angenommen, dass sich über die Hintertür mehr als ein Dutzend Malware-Familien verbreitete.
Der Vorgang legte außerdem eine Schwachstelle in Googles Zertifizierungsprozess für Android-Geräte offen. Videostrong verbarg das schädliche Hintertür-Skript während der Sicherheitsprüfungen, sodass es sich nach dem ersten Neustart eines Geräts und bei weiteren Neustarts aktivieren konnte, da es auf Firmware-Ebene eingebettet war.
Google hat die Zusammenarbeit mit dem Hersteller und dessen Tochtergesellschaften inzwischen beendet und rechtliche Schritte eingeleitet, um die Server mit dem Botnetz und seiner Malware lahmzulegen. Die Abschaltung dürfte kriminellen Betreibern außerdem den Zugriff auf mindestens weitere 10 Millionen kompromittierte Geräte entziehen, die mit der Malware-Infrastruktur von Partnern verbunden sind.
Wenn Empfehlungen zur Cybersicherheit nicht ausreichen
Herkömmliche Empfehlungen zur Cybersicherheit bieten möglicherweise nur wenig Schutz, wenn die Kompromittierung bereits vor dem Erreichen des Besitzers in ein Gerät gelangt. Im Fall von XCPE konnten Verbraucher ihre Android-TV-Boxen zwar auf dem neuesten Stand halten und andere bewährte Sicherheitsmaßnahmen befolgen, dennoch konnte eine Hintertür in der Firmware der Geräte stecken.
Im Gegensatz zu gewöhnlichen schädlichen Anwendungen, die Nutzer deinstallieren können, kann Malware auf Firmware-Ebene mit erweiterten Systemberechtigungen ausgeführt werden und selbst nach mehreren Entfernungsversuchen bestehen bleiben.
Damit haben Verbraucher nur begrenzte Kontrolle über eine bereits bei der Herstellung eingeschleuste Kompromittierung. Um die Infektion zu entfernen, ist möglicherweise eine saubere, vertrauenswürdige Firmware des Herstellers erforderlich – sofern diese verfügbar ist. Doch wie wahrscheinlich ist eine solche saubere Installation, wenn ausgerechnet der Hersteller, wie in diesem Fall, angeblich selbst die Malware verbreitet?
Die Unterbrechung der Kontrollinfrastruktur des Botnetzes durch Google kann zwar verhindern, dass betroffene Geräte mit bekannten schädlichen Servern kommunizieren, entfernt die Hintertür jedoch nicht unbedingt von den bereits verkauften Geräten. Dieser Unterschied ist wichtig, weil die kompromittierte Firmware auch nach der Unterbrechung des ursprünglichen Vorgangs ein Sicherheitsrisiko bleiben kann.
Für Verbraucher und Unternehmen wirft der Vorfall eine schwierige Frage auf: Wie können Nutzer Hardware absichern, wenn die Software, die sie kompromittiert, bereits Bestandteil des Produkts ist?
Warum Unternehmen und Privatpersonen das ernst nehmen sollten
Der XCPE-Vorfall zeigt, warum beim Kauf vernetzter Hardware mehr als nur Preise und technische Daten verglichen werden sollten. Verbraucher sollten Hersteller mit nachweislicher Sicherheitsbilanz, regelmäßigen Firmware-Updates und klaren Support-Zusagen bevorzugen.
Besitzer von Android-TV-Boxen sollten prüfen, ob ihr Gerätemodell als betroffen identifiziert wurde. Nutzer sollten die verfügbaren Informationen des Herstellers und vertrauenswürdige Sicherheitshinweise konsultieren, statt davon auszugehen, dass jedes Gerät eines bestimmten Anbieters kompromittiert ist.
Für Unternehmen steht bei solchen Vorfällen mehr auf dem Spiel, da ihre Infrastruktur für Angreifer besonders wertvoll sein kann. Daher müssen Unternehmen beim Kauf von Fernsehern für Konferenzräume und für andere Zwecke genauer hinsehen.
Das Problem beschränkt sich zudem nicht auf Fernsehboxen. Router, Sicherheitskameras, intelligente Haushaltsgeräte und andere vernetzte Produkte können ebenfalls Risiken mit sich bringen, wenn Hersteller kompromittierte Software ausliefern oder ihre Geräte nicht weiter pflegen.
Im Kern handelt es sich bei diesem Vorfall um ein Problem der Sicherheit und des Vertrauens in der Lieferkette. Verbraucher verlassen sich darauf, dass Hersteller sichere Hardware liefern. Dieses Vertrauen kann jedoch zur Belastung werden, wenn der Anbieter selbst die Quelle der Kompromittierung ist.
Der XCPE-Vorgang zeigt, dass die Sicherheit der Lieferkette von mehr abhängt als davon, wie Nutzer ihre Geräte konfigurieren. Wird schädliche Software bereits während der Herstellung eingeschleust, haben selbst sicherheitsbewusste Verbraucher und Unternehmen möglicherweise nur wenige Möglichkeiten, sie zu erkennen oder zu entfernen.
Weitere Neuigkeiten aus der IT-Sicherheit: Der Leitfaden zur Sicherheit drahtloser Netzwerke von eSecurityPlanet erläutert, wie WPA3-Verschlüsselung, regelmäßige Firmware-Updates und Netzwerksegmentierung dabei helfen können, WLAN-Netzwerke zu Hause und in Unternehmen vor unbefugtem Zugriff, Malware und anderen Cyberbedrohungen zu schützen.