Woran Sie erkennen, dass Ihre TV-Box für Fremde arbeitet

Eine billige TV-Box ist das eine Gerät in der Wohnung, an das niemand denkt. Sie steht hinter dem Fernseher, verlangt nie ein Update und hat denselben Zugang zum Heimnetz wie Ihr Notebook. Die Sicherheitsforscher von Plume haben die SuperBox-Familie auseinandergenommen, Android-TV-Boxen aus dem Sortiment großer US-Händler, und gleich zweierlei gefunden: Die Box steht jedem im Netz sperrangelweit offen, und ein Teil der mitgelieferten Apps macht die Leitung still und leise zum vermieteten Ausgang für fremden Verkehr.

Was die Forscher tatsächlich gefunden haben

• Debugging blieb eingeschaltet: Die Android Debug Bridge lauscht per TCP auf Port 5858 und nimmt Verbindungen von jedem Gerät im lokalen Netz an, ohne Nachfrage und ohne Bestätigung.
• Root ohne Passwort: Die su-Binärdatei vergibt Root-Rechte ohne Authentifizierung, alles was bereits im Netz ist übernimmt also die volle Kontrolle, ohne eine einzige Lücke auszunutzen.
• Ein Store, der jede Prüfung überspringt: Apps aus dem hauseigenen Katalog der Box umgehen Signaturprüfung, die Warnung vor unbekannten Quellen und den Play-Protect-Scan.

Zusammengenommen ist das nicht einmal eine Schwachstelle im üblichen Sinn. Es gibt nichts auszunutzen, weil nichts verschlossen ist.

Wie die Box an Ihrer Leitung verdient

In einer der Apps aus diesem Store, Cyberflix TV, fand Plume eine eingebettete Komponente namens Popanet. Sie meldet das Gerät als Knoten in einem kommerziellen Wohn-Proxy-Netz an, schickt Geräte-Identität, Standort, Anbieter, Netztyp und ASN und wartet dann auf Anweisungen, fremden Verkehr weiterzuleiten. Nicht für eine Sitzung, sondern auf unbestimmte Zeit.

Der Umfang auf einer einzigen Box lohnt einen Moment: Zehntausende Verbindungsanfragen pro Tag, an Tausende verschiedene Ziele, koordiniert über mindestens 255 bestätigte Serveradressen. Allein im eigenen Kundenbestand zählte Plume knapp 10.000 solcher Geräte.

Warum das bei Ihnen landet und nicht beim Verkäufer

Wohn-Proxy-Netze sind gerade deshalb wertvoll, weil der Verkehr aus einer normalen Wohnadresse kommt. Das ist das Produkt. Als die Forscher mitschnitten, was tatsächlich durch diese Boxen lief, fanden sie Kontoanfragen von Gaming-Plattformen, WhatsApp-Bestätigungscodes der Sorte, mit der Konten in Echtzeit übernommen werden, und gezielte Versuche, den Bot-Schutz von Cloudflare und AWS auszuhebeln.

All das verlässt das Internet mit Ihrer IP-Adresse. Wenn jemand dem Missbrauch nachgeht, endet die Spur in Ihrer Wohnung, und das Gerät, das es getan hat, steht hinter dem Fernseher und spielt Filme. Dieselbe Konstruktion haben wir schon beschrieben, als 120.000 Android-TV-Boxen die Leitung ihrer Besitzer vermieteten, und das Muster bleibt gleich: billige Hardware, ein vorinstalliertes SDK, fremder Verkehr.

So prüfen Sie die Box, die schon bei Ihnen steht

1. Suchen Sie die Zertifizierung. Auf der Box: Einstellungen, dann Über das Gerät oder Play Store, dort nach der Play-Protect-Zertifizierung schauen. Ein nicht zertifiziertes Gerät heißt, dass für die Firmware niemand geradesteht.
2. Schalten Sie Debugging aus. Einstellungen, Entwickleroptionen, dann USB-Debugging und jedes Netzwerk-Debugging deaktivieren. Sind die Entwickleroptionen bereits freigeschaltet und Sie waren es nicht, ist das für sich genommen eine Antwort.
3. Sehen Sie nach, was installiert ist. Alles, was Sie nicht selbst installiert haben, und jeder Store neben Google Play verdient Misstrauen. Cyberflix TV ist die in dieser Untersuchung namentlich genannte App.
4. Beobachten Sie den Verkehr, wenn nichts läuft. Öffnen Sie die Geräteliste im Router und schauen Sie sich den Datenverbrauch der Box über Nacht an. Ein Streaming-Gerät, von dem niemand streamt, sollte nahezu still sein.
5. Scannen Sie die Box aus dem eigenen Netz. Wenn Sie sich das zutrauen, prüfen Sie, ob die Ports 5555 oder 5858 auf ihrer lokalen Adresse antworten. Was dort lauscht, ist eine Fernbedienung, die jeder im Netz aufheben kann. Hier greifen dieselben Prüfungen, die einen für Fremde arbeitenden Router verraten.

Was tun, wenn die Antworten schlecht ausfallen

Die saubere Lösung ist, die Box nicht mehr zu benutzen. Ein nicht zertifiziertes Gerät durch ein zertifiziertes oder durch die App im Fernseher selbst zu ersetzen beseitigt das Problem, statt daran herumzuflicken. Wer sie behalten will, kommt mit Eindämmung am weitesten: ins Gastnetz stellen, damit sie Ihre Rechner und den Netzwerkspeicher nicht sieht, Debugging aus lassen und nie etwas aus ihrem eigenen Store installieren.

Ein Werksreset hilft hier nicht. Die Proxy-Komponente kommt mit der Software und nicht später als Infektion, ein Reset versetzt die Box also genau in den Zustand zurück, den die Untersuchung beschreibt.