Omfanget af malware i kinesiske Android TV-bokse er meget værre end frygtet. Over 20 mio. enheder menes at være inficeret og i stand til bl.a. at få adgang til brugeres hjemmenetværk.

Situationen blev belyst for første gang i maj 2023, da der blev udstedt en advarsel om, at populære kinesiske Android TV-bokse leveres med præinstalleret malware. I september blev endnu et malware-botnet opdaget.

Det er dog kun toppen af isbjerget, ifølge det amerikanske medie Wired.

For at være klar i spyttet: Disse bokse kører AOSP (Android Open Source Project), ikke Googles certificerede 'Android TV' eller 'Google TV' som Chromecast og Nvidia Shield, og netop dét er problemet – AOSP's åbne struktur. Man kan kende disse bokse ved deres ændrede brugerflade, der adskiller sig fra den af Google dikterede brugerflade i officielle 'Android TV' og 'Google TV' enheder.


Kan få adgang til dit hjemmenetværk
Cybersikkerhedsfirmaet Human Security har afsløret nye detaljer om omfanget af det malware-botnet, der driver et omfattende svindelnetværk. Disse TV-bokse, der fremstilles i Kina, leveres forudindlæst med malware, før de når forhandlerne.

- "De er som en schweizerkniv til at udføre slette opgaver på internettet," sagde Gavin Reid, CISO hos Human Security, til Wired. "Uden at brugeren ved det, når vedkommende tilslutter denne ting, så går den til en kommando og kontrol (C2) i Kina og downloader et instruktionssæt og begynder at lave en masse dårlige ting."

Malware-botnettet omtales 'Badbox'.

Human Security oplyser, at blandt de enheder, som de købte i USA hos online-forhandlere, var 80% inficeret med Badbox. De identificerede syv Android TV-bokse og en tablet (T95, T95Z, T95MAX, X88, Q9, X12PLUS, MXQ Pro 5G og J5-W), men har set tegn på, at over 200 modeller kan være inficeret. Disse enheder benyttes i hjem, virksomheder og skoler, og sælges under forskellige mærker for at skjule leverandøren.

Flere af disse enheder sælges i Danmark (link1, link2, link3).


 Enheder såsom Tanix TX6 og H96 MAX X3 er tidligere blevet identificeret som inficerede

Bagdøren ændrer et komponent i Android-operativsystemet, så der kan afvikles kode og tvinges adgang til apps installeret på enheden.

- "Human Security sporede flere typer svindel forbundet med de kompromitterede enheder. Dette inkluderer reklamesvindel; proxy-tjenester til husstande, hvor gruppen bag ordningen sælger adgang til dit hjemmenetværk; oprettelse af falske Gmail- og WhatsApp-konti ved hjælp af forbindelser og fjernkodeinstallation. Organisationen bag ordningen solgte adgang til hjemmenetværk kommercielt, fremgår det af virksomhedens rapport. Gruppen hævder at have adgang til mere end 10 millioner hjemme-IP-adresser og 7 millioner mobile IP-adresser," skriver Wired.


Mange millioner enheder
Et andet sikkerhedsfirma, Trend Micro, har identificeret en anden gruppe i Kina bag lignende malware.

- "De hævdede, at de har over 20 millioner enheder inficeret på verdensplan, med op til 2 millioner enheder online på et hvilket som helst tidspunkt," siger Fyodor Yarochkin, senior threat researcher hos Trend Micro, til Wired.

Trend Micro fandt en inficeret tablet på et museum og mener, at Android-systemer i biler ligeledes er ramt.

- "Du kan tænke på disse Badbox'es som en slags soveceller. De står bare og venter på instruktionssæt," forklarer Gavin Reid til Wired. "Venner lader ikke venner tilslutte mærkelige IoT-enheder til deres hjemmenetværk."

En anden malware, omtalt 'Peachpit' af sikkerhedsforskere, er tilsyneladende mindre skadelig, men lader til at finansiere operationen ved at vise skjulte reklamer i apps. Human Security har identificeret 39 Android, iOS og TV-boks apps med Peachpit. Rapporten indikerer, at Apple og Google allerede er i gang med at tage hånd om problemet.

 Læs også: Google svarer i sag om malware i 'Android TV'-bokse


Årsag til navneskifte til Google TV?
Vi kan ikke lade være med at spekulere i, om Google har været opmærksom på og bekæmpet denne type malware i årevis, og om det har spillet en rolle i selskabets beslutning om at omdøbe Android TV til Google TV.

Aktører med slette hensigter kan bruge Android-navnet med henvisning til AOSP, men de kan ikke bruge 'Google', som er et varemærke.

- Kilde: Wired, Human Security