1,6 Millionen Android-Fernseher weltweit gehackt und vom Vo1d-Botnetz infiziert

Forscher der Cybersicherheitsfirma XLab haben entdeckt, dass eine neue Variante des riesigen Botnets "Vo1d" über 1,6 Millionen Android-TV-Geräte in mehr als 200 Ländern und Regionen infiziert hat und sich schnell ausbreitet.

Diese Entwicklung wirft ernsthafte Bedenken hinsichtlich der Sicherheit von Internet-of-Things (IoT)-Geräten und ihrer potenziellen Ausnutzung in groß angelegten Cyberangriffen auf.

„Stellen Sie sich vor, Sie sitzen auf Ihrer Couch und sehen fern, als plötzlich der Bildschirm flackert, die Fernbedienung nicht mehr funktioniert und das Programm durch verzerrten Code und unheimliche Befehle ersetzt wird. Ihr Fernseher, als ob er von einer unsichtbaren Kraft entführt wurde, wird zu einer „digitalen Marionette.“ Das ist keine Science-Fiction - es ist eine reale und wachsende Bedrohung. Das Vo1d-Botnetz übernimmt still und heimlich die Kontrolle über Millionen von Android-TV-Geräten weltweit“, schrieben die XLab-Forscher in einem Blogbeitrag am Donnerstag.

Laut den Erkenntnissen der XLab-Forscher hat die Vo1d-Malware, die hauptsächlich Android-TVs und Set-Top-Boxen angreift, derzeit 800.000 aktive Bots. Das Botnetz erreichte am 14. Januar 2025 einen Höchststand von 1.590.299.

Das Vo1d-Botnet nutzt Sicherheitsanfälligkeiten in kostengünstigen Android-TV-Boxen aus, von denen viele veraltete Software verwenden.

Sobald diese Geräte infiziert sind, werden sie in ein Botnetz integriert - ein Netzwerk von gehackten Systemen, das für böswillige Aktivitäten wie verteilte Denial-of-Service (DDoS)-Angriffe, Kryptowährungsabbau und Datendiebstahl verwendet wird.

Bemerkenswerterweise operiert die Malware heimlich, oft ohne dass die Benutzer sofortige Anzeichen einer Infektion bemerken.

Betroffene Geräte können jedoch eine beeinträchtigte Geräteleistung, unerwartete Pop-ups oder unerwartete Netzwerkaktivitäten erfahren.

Die Analyse von XLab hat ergeben, dass Vo1d ausgeklügelte Techniken einsetzt, um seine Tarnung, Widerstandsfähigkeit und Antidetektionsfähigkeiten zu verbessern:

1. Erweiterte Verschlüsselung: Die Malware verwendet RSA-Verschlüsselung für Netzwerkkommunikation, wodurch eine Übernahme des Command-and-Control (C2) selbst dann verhindert wird, wenn DGA-Domains von Forschern registriert werden.
2. Infrastruktur-Upgrade: Vo1d integriert sowohl hardcodierte als auch domänergenerierte Algorithmus (DGA)-basierte Redirector-C2s, um Flexibilität und Resilienz zu verbessern.
3. Optimierung der Payload-Zustellung: Jede Payload wird über einen einzigartigen Downloader ausgeliefert, wobei XXTEA-Verschlüsselung mit RSA-geschützten Schlüsseln verwendet wird, was die Analyse und Erkennung erschwert.

Die schnelle Verbreitung des Vo1d-Botnets unterstreicht die Schwachstellen, die in IoT-Geräten vorhanden sind, insbesondere bei solchen mit veralteten Sicherheitsmaßnahmen.

Während das Vo1d-Botnetz hauptsächlich auf Profit ausgerichtet ist, kann seine vollständige Kontrolle über Geräte Angreifern ermöglichen, groß angelegte Cyberangriffe oder andere kriminelle Aktivitäten durchzuführen.

Zum Beispiel übertrifft das schiere Ausmaß des Vo1d-Botnets frühere Bedrohungen wie Bigpanzi, das ursprüngliche Mirai-Botnet, sowie den rekordbrechenden DDoS-Angriff von Cloudflare im Jahr 2024 mit 5,6 Tbps.

Kompromittierte Geräte könnten manipuliert werden, um unbefugte Inhalte zu übertragen, wie durch Vorfälle belegt, bei denen KI-generierte Aufnahmen ohne Genehmigung auf Fernsehern angezeigt wurden.

Im Februar 2025 macht Brasilien fast 25% der Infektionen aus, gefolgt von Südafrika (13,6%), Indonesien (10,5%), Argentinien (5,3%), Thailand (3,4%) und China (3,1%).

Um sich gegen solche Bedrohungen abzusichern, können Android TV- und Set-Top-Box-Nutzer vorbeugende Maßnahmen ergreifen, wie zum Beispiel sicherzustellen, dass ihre Geräte die neueste Software verwenden, Anwendungen nur aus vertrauenswürdigen Quellen herunterzuladen, um das Risiko einer Malware-Infektion zu minimieren, Standardpasswörter durch starke, einzigartige Passwörter zu ersetzen, um die Gerätesicherheit zu verbessern, und ein Auge auf die Netzwerkaktivität zu haben, um ungewöhnliche Datenverbrauchsmuster zu beachten, die auf ein kompromittiertes Gerät hindeuten könnten.