Google hat die Geschäftsbeziehungen zum Hersteller Videostrong beendet, nachdem Sicherheitsforscher eine ab Werk installierte Hintertür auf mehr als 1,3 Millionen Android-basierten Geräten entdeckt hatten. Die Geräte wurden laut den Ermittlungen ohne Wissen ihrer Besitzer für kriminelle Geschäfte genutzt. Betroffen sind Geräte verschiedener Marken und Modellreihen; auch Deutschland ist laut den Forschern betroffen.
Die Hintertür trägt die Bezeichnungen „x.cpe“ und „com.oemservice“. Sie war in der Firmware verankert, also in der fest auf dem Gerät gespeicherten Grundsoftware, und hatte weitreichende Systemrechte. Nach dem ersten Start konnten weitere Schadprogramme nachgeladen werden.
Nach Angaben der Google Threat Intelligence Group verkaufte Videostrong den Zugriff auf die kompromittierten Geräte an kriminelle Partner. Diese konnten zusätzliche Programme installieren, Befehle ausführen und auf persönliche Daten zugreifen. Google beobachtete unter anderem Screenshots, simulierte Tastatureingaben sowie den Abfluss von Konto- und Geräteinformationen.
Die Streaming-Boxen wurden demnach auch für Werbebetrug und als sogenannte Residential Proxies eingesetzt. Dabei wird der Internetanschluss des Gerätebesitzers als Zugangspunkt für fremden Datenverkehr verwendet. Für aufgerufene Webseiten sieht es dann so aus, als stamme der Datenverkehr aus einem gewöhnlichen Privathaushalt.
Als Beispiel nennen die Sicherheitsforscher eine MECOOL KM9PRO Max, auf der sie die Hintertür nachweisen konnten. Videostrong fertigt laut den Angaben auch Geräte, die unter anderen Markennamen verkauft werden. Neben Streaming-Boxen wurde die Schadsoftware vereinzelt auf Karaoke-Systemen und digitalen Anzeigetafeln gefunden.
Google und weitere Sicherheitsunternehmen haben gemeinsam mit der japanischen Polizei die Infrastruktur des Botnetzes angegriffen. Die Abschaltung der Steuerungsserver soll nach Googles Einschätzung den Zugriff auf mindestens zehn Millionen weitere kompromittierte Geräte unterbrechen. Sie entfernt die Hintertür jedoch nicht aus der Firmware bereits verkaufter Geräte.
Ein Zurücksetzen auf die Werkseinstellungen dürfte deshalb nicht zuverlässig ausreichen. Eine vollständige und für Verbraucher leicht überprüfbare Liste aller betroffenen Geräte liegt bislang nicht vor. Synthient veröffentlicht technische Erkennungsmerkmale und Modellkennungen, weist aber darauf hin, dass eine übereinstimmende Modellbezeichnung allein keine Infektion beweist.
Synthient empfiehlt Besitzern betroffener Geräte, sie vom Netzwerk zu trennen und nicht weiterzuverwenden. Die Forscher raten bei kompromittierten Geräten außerdem dazu, sie dauerhaft außer Betrieb zu nehmen und zu entsorgen, weil sich die Hintertür nicht durch das einfache Deinstallieren einer Anwendung entfernen lässt.