Ein TV-Box-Hersteller verkaufte die Hintertür, die er in 1,3 Millionen Android-Geräte einbaute

Google zufolge war die Hintertür kein Unfall, kein kompromittierter Build-Server und kein einzelner krimineller Mitarbeiter. In einem am Montag veröffentlichten Threat-Intelligence-Bericht erklärt das Unternehmen, es sei mit hoher Konfidenz überzeugt, dass Videostrong Technology Co. aus Shenzhen – der Hersteller hinter den TV-Boxen der Marke MECOOL – den Implantat selbst entwickelt, ausgeliefert und betrieben hat. Und damit Geld verdient hat, indem er Zugang an Kriminelle vermietete.

Die als x.cpe verfolgte Malware wurde nie auf die Boxen heruntergeladen. Sie steckte in der Firmware, lief als System-App, signiert mit dem eigenen Schlüssel des Herstellers, und wartete auf Befehle von einem Command-and-Control-Server. Bevor sie etwas installierte, schaltete sie die App-Prüfungen in Google Play Protect ab. Von dort aus konnten die Betreiber Apps ohne Wissen der Eigentümer ausrollen, Befehle ausführen, Live-Screenshots aufnehmen, Tastatureingaben senden, Kontodaten, Geräteinformationen, App-Listen und Systemprotokolle abziehen, Reverse Shells öffnen und das Netzwerk kartieren, in dem die Box hängt.

Was die Käufer mit diesem Zugang taten, war überwiegend leise und kommerziell. Module meldeten die Boxen in Residential-Proxy-Netzen an – sie verkauften also den Internetanschluss eines Haushalts, damit fremder Datenverkehr aussieht, als käme er aus einem normalen Wohnzimmer – oder fälschten Aufrufe von Online-Werbung. Google zufolge monetarisierte Videostrong die Hintertür, indem das Unternehmen Zugang an kriminelle Partner verkaufte und deren Module auf infizierte Geräte lud.

Das Ausmaß

TrendAI, die Enterprise-Einheit von Trend Micro, zählte zwischen dem 3. Juni und dem 1. Oktober 1.472.554 infizierte Geräte in 206 Modellen und erklärt, die tatsächliche Zahl liege mindestens so hoch. Die meisten Infektionen gab es in Malaysia, Brasilien, im Irak, in Mexiko und in Taiwan; auf die USA, Deutschland, Großbritannien, Australien und Kanada entfielen jeweils etwa 26.000 bis 42.000. Überwiegend handelte es sich um Android-TV-Set-Top-Boxen, die Hintertür tauchte aber auch auf Telemedizin-Geräten, Karaoke-Maschinen und Digital-Signage-Displays auf. Synthient, ein Anbieter, der Proxy-Netze beobachtet, veröffentlichte eine Liste mit 182 Modellnamen aus der Kampagne – mit dem ausdrücklichen Hinweis, dass ein Modellname allein noch keine Infektion belegt.

Die Command-and-Control-Domains wurden per Gerichtsweg abgeschaltet, unterstützt von der japanischen Nationalen Polizeibehörde, Lumen, HUMAN Security, Plume, Synthient und TrendAI. Weil dieselben Partner ihre Malware auch über andere Kanäle verteilen, schätzt Google, dass die Aktion den Zugriff auf mindestens 10 Millionen weitere kompromittierte Geräte gekappt hat.

Der Teil, den Besitzer nicht reparieren können

Weil x.cpe Teil der Firmware und mit dem Herstellerschlüssel signiert ist, hält eine Deinstallation nicht: Nach dem Neustart ist sie wieder da. TrendAI zufolge braucht es zur Bereinigung „Herstellermaßnahmen, Plattformschutz oder den Austausch des Geräts". Plume empfiehlt einen vollständigen Werksreset, weil die Partner-Module weitere Hintertüren hinterlassen haben könnten, sagt aber nicht, ob ein Reset x.cpe selbst entfernt. Synthient geht weiter und rät Verbrauchern, die Boxen endgültig wegzuwerfen.

Google hat die Beziehungen zu Videostrong gekappt und das Unternehmen – samt künftiger Tochtergesellschaften und Partner – gesperrt: Es darf keine zertifizierten Android-Geräte mehr bauen oder verkaufen und keine Software an andere zertifizierte Hersteller liefern. Am Montag bewarb Videostrong auf der eigenen Website noch Produkte namens „Google Certified Android TV Box" und „Google Certified Android TV Stick".

Wie es an der Zertifizierung vorbeikam

Jedes zertifizierte Android-Gerät durchläuft Kompatibilitäts- und Sicherheitstests. Google zufolge versteckte Videostrong den Code, um eine Lücke in diesem Verfahren auszunutzen, und lud die schädliche Nutzlast erst nach dem ersten Start des Geräts – das getestete Gerät war also nicht das ausgelieferte. Google erklärt, den Prüfprozess geändert und die Firmware-Kontrollen zertifizierter Android-TV-Hardware verschärft zu haben. Wie viele der infizierten Geräte zertifiziert waren, sagt das Unternehmen nicht; Plume berichtet, das Botnetz habe sowohl zertifizierte Geräte als auch unzertifizierte mit dem quelloffenen AOSP-Build umfasst.

Der Vergleich, der weh tut: Als Google im Juli 2025 wegen des BadBox-2.0-Botnetzes klagte, waren die mehr als 10 Millionen betroffenen Geräte unzertifiziert. Diesmal trug die Lieferkette Googles eigenes Siegel.

Für Organisationen ist der praktische Rat unspektakulär. Suchen Sie mit den veröffentlichten Indikatoren von Synthient nach MECOOL- und ähnlichen Geräten im Netz, trennen Sie gefundene Geräte ab und entsorgen Sie sie, blockieren Sie die gelisteten Command-and-Control-Domains und -IPs, und halten Sie Consumer-Smart-Geräte in einem eigenen Netzsegment von sensiblen Systemen getrennt. TrendAIs Zusatz ist für Remote-Arbeit relevant: Eine unmanaged TV-Box im Heimnetz einer Mitarbeiterin gehört zur Angriffsfläche des Unternehmens – ob die IT je von ihr gehört hat oder nicht.