120.000 Android-TV-Boxen vermieteten den Internetanschluss ihrer Besitzer

Eine billige Android-TV-Box unter dem Fernseher zählt selten zur Angriffsfläche des Heimnetzes. Forscher von Bitsight zeigen gerade, warum sie es sollte: Eine Serie günstiger Streaming-Boxen kam mit einer Hintertür ab Werk und verdient damit gleich doppelt - mit Werbebetrug und als Ausgangsknoten eines Residential-Proxy-Netzes, das fremden Datenverkehr über den Internetanschluss des Besitzers leitet.

Eine abgelaufene Domain öffnete den ganzen Fall

Die Untersuchung begann zufällig. Bitsight-Forscher Pedro Fale registrierte eine frei gewordene Domain, über die Android-TV-Boxen die Telemetrie ihrer Hintertür verschickten. Statt Stille kamen Meldungen echter Geräte: mehr als 65.000 Rückmeldungen von rund 38.000 eindeutigen MAC-Adressen an einem einzigen Tag. Die meisten meldeten sich nicht als TV-Box, sondern als Smartphone.

Die Forscher tauften die Operation Fuyao. Die Sinkhole-Daten sind zu älteren Modellen einer einzigen Marke verschoben, H96, deshalb sind 38.000 eine Untergrenze und keine Obergrenze: Die Betreiber selbst bewerben ein Netz von mehr als 120.000 Geräten.

Eine Box, zwei Jobs, und das HDMI-Kabel entscheidet

Das Ungewöhnlichste an Fuyao ist die Arbeitsteilung. Die Schadsoftware prüft, ob ein HDMI-Kabel angeschlossen ist - ein zuverlässiges Signal dafür, ob gerade jemand fernsieht:

• HDMI angeschlossen: Die Box wird zum SOCKS5-Ausgangsknoten und leitet fremden Datenverkehr über die Leitung des Besitzers.
• HDMI abgezogen: Die Box wechselt zum Werbebetrug, fälscht die Hardware-Kennung beliebter Modelle von Samsung, Huawei, Xiaomi und Vivo und klickt Anzeigen auf Webseiten an, die die Betreiber selbst betreiben.

Das Gerät verdient rund um die Uhr, und ausgerechnet der Modus, bei dem fremder Verkehr hinter der IP-Adresse des Besitzers auftaucht, läuft genau dann, wenn im Haushalt ferngesehen wird.

Maschinelles Sehen und ein Programmierbaukasten für Kinder

Um Werbeflächen auf einer Seite zu finden, bringt die App ein YOLOv8s-Objekterkennungsmodell mit, trainiert auf zwölf Bildschirmelementen samt typischer Bannerbereiche und Taboola-Widgets, und kombiniert es mit Android-Bedienungshilfen und der Texterkennung von Google ML Kit. Die Kampagnenlogik selbst entsteht in Blockly, der visuellen Baustein-Sprache, die Google für den Programmierunterricht mit Kindern entwickelt hat: Mitarbeiter stecken Blöcke in einem eigenen Editor zusammen, exportieren das Ergebnis als JavaScript und legen es in der Cloud ab, wo die infizierten Boxen es abholen. Bitsight sicherte in zwei Durchläufen rund 166 Betrugsmodule.

Pro Gerät ist die Rechnung bescheiden, in der Summe erheblich. Vorsichtig geschätzte 1 bis 1,25 Dollar pro Gerät und Tag ergeben etwa 150.000 Dollar täglich über die beworbene Flotte und bis zu 40 Millionen Dollar im Jahr, wenn man Betrugsfilter und Anzeigenauslastung einrechnet.

Warum ein Proxy-Knoten im Wohnzimmer das Problem des Besitzers ist

Jede sechste Fuyao-Box überschnitt sich binnen 24 Stunden mit Daten kommerzieller Residential-Proxy-Dienste, jede vierte innerhalb von sieben Tagen. Bitsight liest das so: Die Betreiber vermieten Bandbreite an Proxy-Anbieter, also an Dienste, die "saubere" private IP-Adressen an jeden verkaufen, der Datenverkehr braucht, der nicht nach Rechenzentrum aussieht.

Für den Käufer der Box ist das sehr konkret. Scraping, das Durchprobieren gestohlener Passwörter, Ticket-Bots und Betrugsversuche hinterlassen die öffentliche Adresse des Haushalts in den Logs der Betroffenen. Die Folgen kommen später und wirken zusammenhanglos: endlose CAPTCHAs, gesperrte Dienste, gebannte Konten, Post vom Provider. Dasselbe Muster steckte im NetNut-Netz aus zwei Millionen gekaperten Geräten, das FBI und Google im Juli zerschlagen haben.

Mehr dazu: FBI und Google zerschlagen NetNut: das Proxy-Botnetz aus zwei Millionen gekaperten Geräten.

Wie man die Box prüft, die schon im Wohnzimmer steht

Google bestätigte, dass die betroffenen Geräte nicht Play-Protect-zertifiziert sind, also nie die Kompatibilitäts- und Sicherheitstests von Android durchlaufen haben. Weder Bitsight noch die Berichterstattung klären, wer die Apps installiert hat und an welcher Stelle der Lieferkette sie auftauchten; eine vollständige Liste betroffener Modelle gibt es nicht.

• Zertifizierung prüfen: Google führt eine Liste Play-Protect-zertifizierter Android-TV-Geräte; steht eine Box nicht darauf, existiert kein Sicherheitsnachweis.
• Auf den Datenverkehr schauen, nicht auf den Bildschirm: Das deutlichste Symptom ist ein Gerät, das weiter Daten sendet, obwohl niemand fernsieht. Router-Statistik oder die App des Providers zeigen das.
• Firmware aktualisieren ausschliesslich über den Hersteller, und Geräte ohne jede Update-Versorgung besser aus dem Netz nehmen.
• Hardware mit "kostenlosen Inhalten" als verdächtig behandeln. Der Rat des FBI nach früheren Kampagnen war deutlich: angeschlossene Geräte durchgehen, verdächtige abklemmen und No-Name-Boxen misstrauen, die mit dem Versprechen von Gratis-Fernsehen verkauft werden.

Was sich für die Hygiene des Heimnetzes ändert

Die brauchbare Lehre aus Fuyao lautet: Der Ruf eines Heimnetzes hängt an seinem schwächsten Gerät. Ein Datenschutz-Werkzeugkasten, der Laptop und Telefon absichert, während eine No-Name-Box von derselben Adresse aus unbekannten Verkehr schiebt, verteidigt den falschen Perimeter. Verschlüsselte Tunnel lohnen sich für das, was sie wirklich können: das Surfen vor dem Provider und vor dem Betreiber eines öffentlichen WLANs verbergen. Was sie nicht können, ist die Verantwortung für Hardware übernehmen, die schon im Werk kompromittiert wurde. Billige Smart-Geräte in ein Gastnetz zu verschieben oder ganz zu entfernen, bringt der IP-Adresse des Haushalts mehr als jedes Abo.