Botnet
Malware bereits ab Werk: 1,3 Mio. TV-Boxen weltweit Teil eines kriminellen Botnets
X.CPE-Botnet mit 1,3 Millionen Geräten zerschlagen
Cyberkriminelle müssen Geräte nicht zwangsläufig hacken, um sie für ihre Zwecke zu missbrauchen – manchmal ist die Schadsoftware bereits beim Kauf installiert. Genau das zeigt der Fall des X.CPE-Botnets, das mehr als 1,3 Millionen TV-Set-Top-Boxen in über 200 Ländern kompromittierte und die Internetanschlüsse ahnungsloser Nutzer für kriminelle Geschäfte ausnutzte. Eine internationale Allianz aus Technologieunternehmen, Sicherheitsforschern und Strafverfolgungsbehörden hat die Infrastruktur des Botnets nun in einer koordinierten Aktion weitgehend lahmgelegt.
Internationale Sicherheitsallianz stoppt weltweites Botnet – mindestens 10 Millionen weitere Geräte könnten von der Abschaltung profitieren
An der Operation beteiligten sich Google, Plume, TrendAI , Lumen, HUMAN Security und Synthient sowie die japanische Nationale Polizeibehörde (National Police Agency). Gemeinsam nutzten sie Erkenntnisse aus der Malware-Analyse, Threat Intelligence und Netzwerküberwachung, um die Infrastruktur hinter X.CPE zu identifizieren und gezielt zu stören.
Das Besondere an diesem Fall: Die Schadsoftware gelangte nicht durch Phishing, manipulierte Downloads oder unsichere Apps auf die Geräte. Sie war bereits Bestandteil der Firmware, bevor die Set-Top-Boxen überhaupt in den Handel kamen.
Damit rückt ein Sicherheitsrisiko in den Mittelpunkt, das für Verbraucher kaum erkennbar ist und auch Netzbetreiber vor erhebliche Herausforderungen stellt: kompromittierte Hardware innerhalb der Lieferkette.
Malware ab Werk: Wenn das neue Gerät bereits kompromittiert ist
X.CPE war tief in der Firmware der betroffenen TV-Set-Top-Boxen verankert. Diese Software steuert grundlegende Gerätefunktionen und wird normalerweise bereits während der Herstellung installiert.
Die Malware war nach Angaben der beteiligten Sicherheitsforscher gezielt darauf ausgelegt, Sicherheitsprüfungen vor der Markteinführung zu umgehen. Nutzer erhielten deshalb Geräte, die äußerlich und funktional unauffällig erschienen, im Hintergrund jedoch bereits mit einer kriminellen Infrastruktur kommunizierten.
Anders als bei klassischen Malware-Infektionen mussten die Besitzer weder einen schädlichen Dateianhang öffnen noch eine manipulierte Anwendung installieren. Auch eine Einwilligung zur Nutzung ihrer Internetverbindung wurde nicht eingeholt.
Die kompromittierten Set-Top-Boxen gewährten den Botnet-Betreibern einen dauerhaften Fernzugriff. Gleichzeitig ermöglichten sie es, private Breitbandanschlüsse ohne Wissen oder Zustimmung der Abonnenten für unterschiedliche Aktivitäten zu verwenden.
Google reagierte auf die Erkenntnisse mit einer Anpassung seiner Sicherheitsprüfungen. Darüber hinaus schloss das Unternehmen den verantwortlichen Gerätehersteller sowie dessen künftige Tochter- und Partnerunternehmen von der Herstellung von Geräten mit vorinstallierten Google-Apps aus.
Der Fall verdeutlicht ein grundsätzliches Problem der Gerätesicherheit: Wenn Schadsoftware bereits während der Produktion integriert wird, greifen viele klassische Schutzmechanismen erst dann, wenn das kompromittierte Gerät längst im Netzwerk aktiv ist.
Internationale Zusammenarbeit legt X.CPE-Infrastruktur lahm
Die Zerschlagung des Botnets erforderte eine koordinierte Zusammenarbeit über Unternehmens-, Technologie- und Landesgrenzen hinweg.
Google, Plume, TrendAI, Lumen, HUMAN Security und Synthient brachten unterschiedliche Erkenntnisse über kompromittierte Geräte, Malware-Komponenten, Netzwerkverkehr und digitale Betrugsaktivitäten zusammen. Unterstützt wurde die Operation durch die japanische Nationale Polizeibehörde.
Durch diese Kombination konnten die Beteiligten nicht nur die Funktionsweise von X.CPE nachvollziehen, sondern auch zentrale Bestandteile seiner Infrastruktur gezielt außer Betrieb setzen.
„Operationen wie diese erhöhen die Kosten für Kriminelle und zeigen, dass die Infrastruktur, auf die sie sich stützen, nicht unerreichbar ist“, erklärt Charley Snyder, Head of Disruption Operations bei der Google Threat Intelligence Group. „Um X.CPE auszuschalten, mussten Partner aus der gesamten Branche zusammenarbeiten. Das ist ein Beleg dafür, dass Zusammenarbeit eines der wirkungsvollsten Mittel gegen Bedrohungen ist, die Grenzen und Branchen überschreiten.“
Ein wesentlicher Bestandteil des Takedowns war die Störung der Command-and-Control-Infrastruktur (C2). Über entsprechende Domains konnten die Betreiber und ihre kriminellen Partner zusätzliche Malware-Module steuern und kompromittierte Geräte für unterschiedliche Zwecke einsetzen. Die Abschaltung dieser Kommunikationswege hat Auswirkungen, die deutlich über die ursprünglich identifizierten 1,3 Millionen Set-Top-Boxen hinausgehen.
Mindestens 10 Millionen weitere Geräte betroffen
Nach Einschätzung von Google könnte die koordinierte Abschaltung der C2-Domains den Zugriff auf mindestens 10 Millionen weitere kompromittierte Geräte unterbinden.
Der Hintergrund: Die mit X.CPE verbundenen kriminellen Affiliates verbreiteten ihre Malware-Module nicht ausschließlich über das Set-Top-Box-Botnet. Sie nutzten zusätzliche Infektions- und Verbreitungswege, die ebenfalls auf Teile der nun gestörten Infrastruktur angewiesen waren. Damit traf die Operation nicht nur das ursprüngliche Botnet, sondern auch weitere kriminelle Aktivitäten innerhalb des angeschlossenen Ökosystems.
Die Zahl verdeutlicht, wie eng verschiedene Malware-Kampagnen und kriminelle Geschäftsmodelle miteinander verflochten sein können.
Allerdings bedeutet die Unterbrechung der Steuerungsinfrastruktur nicht automatisch, dass sämtliche betroffenen Geräte vollständig von Schadsoftware befreit wurden. Der Takedown unterbindet beziehungsweise erschwert zunächst die Kommunikation mit den kriminellen Betreibern. Gerade bei bereits in der Firmware verankerter Malware bleibt die Frage entscheidend, wie kompromittierte Geräte dauerhaft bereinigt oder ausgetauscht werden können.
Residential Proxies: Private Internetanschlüsse als Geschäftsmodell
Die Betreiber von X.CPE nutzten die kompromittierten Geräte nicht ausschließlich für klassische Botnet-Aktivitäten. Vielmehr diente die Infrastruktur als Grundlage für unterschiedliche kriminelle Einnahmequellen. Dazu gehörten der Weiterverkauf von Internetbandbreite, die Auslieferung von Videoinhalten, betrügerische Onlinewerbung sowie die Installation zusätzlicher Backdoors. Frühere Versionen ermöglichten außerdem die kostenpflichtige Installation von Anwendungen. Besonders problematisch war die Nutzung sogenannter Residential Proxies.
Dabei wird Internetverkehr Dritter über private Breitbandanschlüsse geleitet. Für externe Dienste erscheint dieser Datenverkehr so, als stamme er unmittelbar von einem gewöhnlichen privaten Internetnutzer. Die tatsächlichen Betreiber können dadurch ihre eigene Infrastruktur verschleiern und die IP-Adressen unbeteiligter Haushalte für ihre Aktivitäten verwenden. Im Fall von X.CPE geschah dies ohne Wissen oder Zustimmung der betroffenen Abonnenten.
Die Besitzer stellten damit unwissentlich nicht nur ihre Internetbandbreite zur Verfügung, sondern auch ihre öffentliche IP-Adresse, die für externe Systeme als Ursprung des weitergeleiteten Datenverkehrs sichtbar wurde.
Für Cyberkriminelle ist dieses Modell besonders attraktiv, weil private IP-Adressen bei bestimmten Diensten weniger verdächtig erscheinen können als Verbindungen aus bekannten Rechenzentren oder kommerziellen Proxy-Netzwerken.
Datensammlung und dauerhafter Fernzugriff verschärfen das Risiko
Neben der unerlaubten Nutzung von Internetanschlüssen identifizierten die Sicherheitsforscher weitere Funktionen der Schadsoftware.
Demnach erfasste X.CPE Informationen über Geräte, Netzwerke und Benutzerkonten. Gleichzeitig bestanden Möglichkeiten für einen dauerhaften Fernzugriff auf die kompromittierten Systeme. Die Malware konnte damit weit mehr als lediglich Netzwerkverkehr weiterleiten.
Die Kombination aus Datensammlung, verdeckter Kommunikation und nachladbaren Malware-Modulen schuf eine vielseitig nutzbare Infrastruktur, die sich für unterschiedliche kriminelle Geschäftsmodelle einsetzen ließ.
Für betroffene Haushalte entstanden dadurch mehrere Risiken gleichzeitig: eine unbemerkte Nutzung ihrer Internetverbindung, mögliche Datenschutzverletzungen und die Gefahr zusätzlicher Schadsoftware. Besonders kritisch ist dabei, dass sich solche Aktivitäten nicht zwangsläufig durch eine erkennbare Beeinträchtigung der Gerätefunktionen bemerkbar machen. Eine Set-Top-Box kann weiterhin problemlos Fernsehinhalte wiedergeben und gleichzeitig im Hintergrund Verbindungen zu kriminellen Servern unterhalten.
Supply-Chain-Sicherheit wird zum Problem für Internetprovider
Für Internet- und Telekommunikationsanbieter hat der Fall X.CPE eine zusätzliche Dimension. Viele Service Provider stellen ihren Kunden vernetzte Endgeräte zur Verfügung oder betreiben Netzwerke, in denen zahlreiche Geräte unterschiedlicher Hersteller aktiv sind. Wurde ein Gerät bereits während der Produktion kompromittiert, können herkömmliche Qualitätsprüfungen und Funktionstests unauffällig bleiben.
Die eigentliche Gefahr zeigt sich möglicherweise erst durch ungewöhnliche Kommunikationsmuster, verdächtige externe Verbindungen oder unerklärlichen Datenverkehr. Für Provider bedeutet dies, dass die Sicherheit eines Geräts nicht allein anhand seiner technischen Funktionalität bewertet werden kann. Entscheidend wird vielmehr die Transparenz darüber, welche Anwendungen und Prozesse auf den Geräten aktiv sind und mit welchen externen Diensten sie kommunizieren.
Chris Griffiths, Chief Technology Officer bei Plume, unterstreicht die Bedeutung einer solchen Netzwerktransparenz: „Um das vernetzte Zuhause zu schützen, braucht es Transparenz über Bedrohungen, die Abonnenten nicht sehen können und die sie auch nicht erkennen müssen.“ „Indem wir Breitband-Intelligence in diese gemeinsame Aktion einbrachten, haben wir dazu beigetragen, versteckte Supply-Chain-Risiken aufzudecken und koordiniertes Handeln zu unterstützen, damit Netzwerke für Service Provider und ihre Abonnenten sicherer werden.“
X.CPE zeigt die Grenzen klassischer Gerätesicherheit
Die internationale Operation gegen X.CPE verdeutlicht, dass sich moderne Botnet-Infrastrukturen nicht mehr ausschließlich auf klassische Infektionswege wie Phishing, Sicherheitslücken oder manipulierte Downloads stützen. Wenn Schadsoftware bereits in der Lieferkette auf Geräte gelangt, verschiebt sich die Sicherheitsproblematik erheblich. Verbraucher haben kaum Möglichkeiten, eine kompromittierte Firmware eigenständig zu erkennen. Gleichzeitig können die betroffenen Geräte ihre eigentlichen Aufgaben weiterhin erfüllen, während sie unbemerkt Teil einer kriminellen Infrastruktur sind.
Für Hersteller, Netzbetreiber und Sicherheitsanbieter wird deshalb die kontinuierliche Überwachung von Geräteaktivitäten immer wichtiger. Dazu gehören die Analyse ungewöhnlicher Netzwerkverbindungen, die Prüfung von Firmware-Komponenten und eine stärkere Kontrolle der Softwarelieferkette. Der X.CPE-Takedown zeigt zugleich, dass die Bekämpfung solcher Bedrohungen eine koordinierte Zusammenarbeit erfordert.
Erkenntnisse aus Malware-Forschung, Threat Intelligence, Netzwerkanalyse und Strafverfolgung müssen zusammengeführt werden, um international verteilte Infrastrukturen wirksam zu stören.
Fazit: Der Fall X.CPE ist mehr als die Zerschlagung eines großen Botnets. Er zeigt, wie angreifbar das Vertrauen in vernetzte Geräte wird, wenn Schadsoftware bereits ab Werk installiert ist. Die eigentliche Herausforderung besteht deshalb nicht nur darin, kriminelle Steuerungsserver abzuschalten, sondern kompromittierte Geräte überhaupt zu erkennen und langfristig aus den Netzwerken zu entfernen.
