Google tötet Botnet: 1,3 Mio. TV-Geräte für Ad-Fraud

Google tötet Botnet: 1,3 Mio. TV-Geräte für Ad-Fraud

Google hat die XCPE-Botnet-Attacke erfolgreich beendet und Videostrong Technology Co. aus dem Geschäft ausgeschlossen. Die Bedrohung nutzte mehr als 1,3 Millionen zertifizierte Android-TV-Geräte (insbesondere die Marke MECOOL) für Ad-Fraud und Proxy-Dienste.

Was ist passiert: Google tötet Botnet

Google Threat Intelligence Group (GTIG) hat heute bestätigt, dass das Netzwerk "XCPE" abgebrochen wurde. Die Bedrohung war bereits im November 2024 aktiv, als Videostrong die ersten Module einbrachte. Bis heute wurden über 1,3 Millionen Geräte infiziert.

Die Botnetze nutzten eine clever ausgeklügelte Architektur: Ein primärer Backdoor (x.cpe) installierte sich sofort nach dem ersten Boot des Geräts und verweigerte Play Protect. Es ermöglichte es den Operateuren, weitere Schadmodule zu laden, die als "Monetization Modules" bezeichnet wurden. Diese Module transformierten das Gerät in einen Proxy-Exit-Node oder ein Ad-Fraud-Engine.

Wichtigste Details mit Datum

• Datum der Ankündigung: Heute, 2026-11-08 (laut Quellen).
• Anzahl infizierter Geräte: Mehr als 1,3 Millionen (Google) bis zu 1,47 Millionen (Trend Micro).
• Infizierte Marken: MECOOL und andere weiße-labelierte Android-TV-Geräte.
• Verbreitungsländer: Brasilien, Malaysia, Irak, Mexiko, Taiwan sowie USA, Deutschland, UK, Australien und Kanada.

Was ist neu: Neue Details zur Bedrohung

Die Quellen zeigen, dass die Bedrohung nicht nur auf TV-Geräten beschränkt war. Auch IoT-Geräte wie Telemedizingeräte, Karaoke-Maschinen und digitale Signalsysteme waren betroffen. Die Botnetze operierten über eine "Supply Chain", bei der verschiedene Proxy-Dienste (z. B. AppSalt/Honeygain, NetNut) als Affiliates genutzt wurden.

Google hat mehrere Maßnahmen eingeleitet:

1. Rechtliche Schritte: Domains und Server von Videostrong wurden gehackt.
2. Exklusion: Videostrong und alle zukünftigen Tochtergesellschaften dürfen keine zertifizierten Android-Geräte mehr herstellen oder Software für andere zertifizierte Anbieter verkaufen.
3. Prozessverbesserung: Google hat die Zertifizierungskriterien angepasst, um ähnliche "Obfuscation"-Techniken zu verhindern.

Warum relevant: Sicherheit und Vertrauen

Die Bedrohung war besonders gefährlich, weil sie auf zertifizierte Geräte abzielt. In der Vergangenheit haben Hersteller oft versucht, diese Geräte zu schützen, doch Videostrong nutzte ein "Gap in our tests", um nach dem ersten Boot Schadcode zu laden.

Experten wie Synthient und Krebs on Security schätzen an dieser Stelle den Schaden noch höher aus als die offiziellen Zahlen. Sie nennen das eine der größten Operationen gegen backdoored TV-Boxen, die sie bisher gesehen haben. Die betroffenen Geräte sind weiterhin gefährdet, da die Module systemweit installiert sind und oft nicht entfernt werden können.

Was ist noch unklar: Grenzen der Lösung

Obwohl Google die Botnetze beendet hat, bleibt ein Problem bestehen:

• Verbleibende Schadmodule: Die "inert" (inerte) Module bleiben auf dem Gerät installiert. Nutzer haben sie oft nicht entfernt.
• Play Protect deaktiviert: Das Schutzprogramm für Apps ist weiterhin ausgeblendet.
• Offenheit des Ökosystems: Da Android Open Source ist, könnte Videostrong weiterhin Malware unter anderen Marken veröffentlichen, solange Google keine neuen Zertifizierungen einführt.

Wie geht es weiter: Schritte und Termine

Basierend auf den Quellen stehen folgende Schritte fest:

• Rechtliche Maßnahmen: Die Domains und Server von Videostrong wurden gehackt.
• Verbot der Zusammenarbeit: Google arbeitet eng mit Japan’s National Police Agency, Lumen, HUMAN Security, Plume, Synthient und TrendAI zusammen.
• Zertifizierung: Google plant Verbesserungen in der Firmware-Integrität für zertifizierte Android-TV-Geräte.

Es werden keine weiteren Prognosen über zukünftige Trends gemacht. Die Quellen betonen nur die aktuellen Maßnahmen zur Disruption des Netzwerks.