Google zerschlägt Botnet aus 1,3 Millionen Android-Geräten

(Source: Pat J./AdobeStock)

(Source: Pat J./AdobeStock)

Google hat nach eigenen Angaben gemeinsam mit mehreren Partnern das Botnetz XCPE zerschlagen. In das schädliche Netzwerk waren weltweit mehr als 1,3 Millionen vernetzte Geräte eingebunden. In einer von Googles Threat-Intelligence-Team veröffentlichten Analyse schreibt der Konzern den Betrieb mit hoher Sicherheit dem Android-Gerätehersteller Videostrong Technology zu. Diesem wirft Google vor, absichtlich Schadsoftware in seine Geräte integriert zu haben.

Das Botnet bestand vorwiegend aus Android-TV-Boxen. Die Spezialisten stellten jedoch auch Infektionen auf anderen vernetzten Geräten fest, darunter Telemedizin-Geräte, Karaoke-Maschinen und Digital-Signage-Systeme.

Backdoor ab Werk

Die als X.cpe bezeichnete Schadsoftware war in der Firmware mehrerer Gerätemodelle und -marken vorinstalliert. Da sie über Systemrechte verfügte, konnte sie sich nach einem Neustart automatisch neu installieren, selbst wenn die Nutzenden versuchten, sie zu entfernen. Google identifizierte zudem Verschleierungstechniken, mit denen die Schadsoftware die Sicherheitskontrollen für zertifizierte Android-Geräte umging.

Mindestens seit Ende 2024 basiert das System auf einer modularen Architektur. Die Hintertür X.cpe kommunizierte mit den Command-and-Control-Servern, unter anderem über das MQTT-Protokoll. Eine zweite Komponente namens Com.abc.nexus war für die Installation und Ausführung der Schadmodule zuständig. Seit August 2026 soll diese schrittweise durch spezialisiertere Loader ersetzt worden sein, die als Android-Systemanwendungen getarnt waren.

Dieses System ermöglichte es unter anderem, unbemerkt Anwendungen zu installieren, Systembefehle auszuführen, Bildschirmaufnahmen zu erstellen, Daten zu sammeln und die Prüfungen von Google Play Protect zu deaktivieren. Die Betreiber konnten zudem Informationen über Konten und Geräte ausschleusen.

Diese Kontrolle über die Geräte wurde insbesondere zur Monetarisierung genutzt. Laut Google wurde Dritten Zugang zu den kompromittierten Geräten angeboten, etwa in Form von Residential Proxys. Damit liess sich Internetverkehr ohne Wissen der User über deren Internetanschluss leiten. Dafür nutzte die Malware Module wie Linkfog, Appsalt und Netnut. Andere Komponenten wie CBoxTV und Hiddenview nutzte die Schadsoftware, um künstlich Werbeeinblendungen oder Interaktionen mit Onlineinhalten zu erzeugen.

Videostrong hat bislang nicht auf Googles Vorwürfe reagiert. Wie "Der Standard" berichtet, hat Google dem Hersteller untersagt, weitere Geräte mit Google-Apps anzubieten.

Lesen Sie auch: Unternehmen stocken ihre Budgets für Cybersecurity wieder deutlich auf und setzen dabei immer mehr auf KI. Das zeigt eine Umfrage von PwC. Für Schweizer Unternehmen sind ausgerechnet Angriffe auf ihre KI-Systeme die grösste Gefahr.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.