Google schließt Videostrong aus: 1,3 Mio. Boxen in Botnet

Google schließt Videostrong aus: 1,3 Mio. Boxen in Botnet

Google hat die "XCPE"-Botnet identifiziert und den chinesischen Hersteller Videostrong Technology Co. als böswilligen Partner verurteilt. Die Quellen bestätigen: 1,3 Millionen Android-Set-Top-Boxen wurden im Firmware-Bereich mit einem Backdoor infiziert, der Nutzerdaten erbeutet und illegale Traffic-Routen ermöglichte.

Hintergrund: Wie Videostrong die Geräte betrog

Videostrong monetisierte das System durch "Affiliates". Diese externen Entwickler lieferten Module wie Linkfog oder AppSalt als native ELF-Daemons oder APKs. Die Quellen beschreiben, dass diese Module auf infizierten Geräten als Residential Proxy-Exit-Nodes oder Ad-Fraud-Engines operierten.

Die Architektur des Malware-Eкосystems ist komplex:

• Primary Backdoor (x.cpe): Operiert am android.uid.system-Pflegelevel. Sie installiert sich automatisch nach dem ersten Boot und bleibt erhalten, wenn der Nutzer sie nicht entfernt.
• Loader & Execution Engine: Das System nutzt native Anti-Analysis Utilities, um Sandbox-Detektion zu umgehen.
• Monetization Modules: Diese werden von Videostrong selbst oder ihren Affiliates geladen. Sie transformieren das Gerät in eine Infrastruktur für illegale Aktivitäten.

Die Maßnahmen der Google Cloud

Google hat mehrere Schritte unternehmen, um die Bedrohung abzuwenden:

1. Takedown: Domains und Server des C2-Systems wurden legal abgebrochen.
2. Exklusion: Videostrong und alle zukünftigen Affiliates werden von der Zertifizierung für Android-Geräte ausgeschlossen.
3. Prozessverbesserung: Google hat seine Review-Prozesse angepasst, um ähnliche Aktivitäten in Zukunft zu verhindern.

Relevanz & Auswirkungen

Die Infektion betrifft nicht nur TV-Boxen, sondern auch andere IoT-Geräte wie Telehealth-Geräte und digitale Signalfelder. Da das Malware im Firmware-Bereich verankert ist, bleibt es nach einem Reset erhalten. Experten warnen vor der Notwendigkeit eines vollständigen Austauschs oder des Trenns vom Heim-WiFi.

Was ist noch unklar?

Ob die Affiliates weiterhin aktiv sind und ob weitere Geräte in das Netzwerk integriert wurden, ist nicht vollständig geklärt. Die Quellen deuten darauf hin, dass die Bedrohung ein flüssiges Ökosystem darstellt, das über mehrere Jahre hinweg aufgebaut wurde.

Wie geht es weiter?

Videostrong wird aus dem Markt ausgeschlossen. Google arbeitet an der Verbesserung der Firmware-Integrität. Es werden keine weiteren spezifischen Termine genannt, außer dem allgemeinen Ziel, die Infrastruktur des Botnet zu destabilisieren.