Android-TV-Boxen: 10 Millionen Geräte mit Malware infiziert

Aktuelle Untersuchungen des Cybersicherheitsunternehmens Bitsight belegen ein massives Sicherheitsproblem bei preisgünstigen Android-TV-Boxen. Den Analysen zufolge sind weltweit rund 10 Millionen dieser Geräte mit Malware infiziert und in Botnetze integriert worden. Die kompromittierte Hardware wird für weitreichende kriminelle Aktivitäten missbraucht, darunter Werbebetrug (Ad Fraud), DDoS-Angriffe sowie der Missbrauch privater Daten.

Die Fuyao-Operation und ihre wirtschaftliche Dimension

Ein zentraler Bestandteil der Bedrohungslage ist die sogenannte „Fuyao“-Operation. Laut den vorliegenden Forschungsdaten steht diese Kampagne in Verbindung mit dem im Jahr 2019 gegründeten Unternehmen Zhejiang Fengwo IoT Technology. Die betroffenen TV-Boxen tarnen sich im Netzwerkverkehr als Smartphones namhafter Hersteller wie Samsung, Huawei, Xiaomi oder Vivo. Tatsächlich fungieren die Geräte jedoch als SOCKS5-Proxy oder führen automatisierten Werbebetrug aus.

Die Dimension der Operation verdeutlichen die täglichen Zugriffszahlen: Bitsight registrierte an einem einzigen Tag 38.000 eindeutige MAC-Adressen und insgesamt 65.957 Meldungen. Das Geschäftsmodell hinter Fuyao ist für die Hintermänner äußerst lukrativ. Schätzungen zufolge erzielt die Operation pro Gerät und Tag einen Umsatz von 1,25 US-Dollar. Dies entspricht einem täglichen Gesamtumsatz von rund 47.500 US-Dollar oder umgerechnet etwa 42.000 Euro. Auf das Jahr hochgerechnet belaufen sich die potenziellen Einnahmen auf bis zu 36 Mio. Euro. Die Infrastruktur der Operation umfasst 144 Domains und 7 sogenannte Begünstigten-Cluster. Technisch ist die Operation zudem mit den Patenten CN117421142B und CN117478834A verknüpft.

Wer sich mit der Sicherheit seiner vernetzten Geräte befasst, sollte die Risiken durch veraltete Software nicht unterschätzen. Dieser kostenlose Report zeigt, wie Sie durch gezielte Updates Sicherheitslücken schließen und Ihre Daten effektiv vor Malware schützen. 5 einfache Schritte für ein sichereres Android-Gerät entdecken

Schlagkraft des Kimwolf-Botnetzes

Parallel dazu identifizierten Sicherheitsforscher das Botnetz „Kimwolf“, eine Variante der Malware Aisuru. Seit August 2025 hat dieses Netzwerk über 2 Mio. Android-Geräte infiziert. Der Schwerpunkt liegt hierbei auf Smart-TVs und günstigen TV-Boxen. Die technische Kapazität von Kimwolf ist erheblich: Experten beobachteten einen Spitzenwert bei DDoS-Angriffen von 29,7 Tbit/s.

Die Infektion erfolgt bei diesen Geräten zumeist bereits ab Werk über vorinstallierte Malware in der Firmware. Betroffen sind vor allem Geräte in einer Preisspanne von 20-50 Euro, die über keine Play-Protect-Zertifizierung verfügen. Zu den namentlich genannten Modellen gehören T95, X96Q, MX10 und SuperBox. Die Einnahmen generiert das Kimwolf-Netzwerk unter anderem durch die Vermietung von Bandbreite für etwa 0,20 US-Dollar pro GB, erzwungene App-Installationen und DDoS-as-a-Service-Angebote. Wöchentlich greift das Botnetz auf etwa 12 Mio. IP-Adressen zurück und nutzt dabei IPIDEA-Proxys.

Auswirkungen auf Haushalte und Gegenmaßnahmen

Die geografische Verbreitung der infizierten Geräte erstreckt sich über Haushalte in Brasilien, Argentinien, Vietnam und Saudi-Arabien, betrifft aber explizit auch deutsche Haushalte. Typische Anzeichen für eine Kompromittierung sind eine ungewöhnliche Überhitzung der Hardware sowie ein hohes Datenaufkommen in den Nachtstunden. Da die Malware tief in der Firmware verankert ist, bietet ein herkömmlicher Werksreset keinen Schutz.

Angesichts der zunehmenden Professionalisierung von Cyberkriminellen wird ein proaktiver Schutz für alle Android-Nutzer immer wichtiger. Ein gratis PDF-Ratgeber liefert Ihnen 5 einfache Maßnahmen, mit denen Sie Ihre Geräte in wenigen Minuten gegen Hacker und Viren absichern. Kostenlosen Sicherheits-Ratgeber jetzt herunterladen

Staatliche Behörden und Technologieunternehmen haben bereits auf die Bedrohung reagiert. Anfang Juli zerschlugen das FBI und Google das Proxy-Netzwerk NetNut, das auch unter der Bezeichnung BadBox 2.0 bekannt war. Zudem gehen die Akteure verstärkt gegen Netzwerke wie IPIDEA vor.

Sicherheitsexperten raten dringend davon ab, No-Name-Geräte ohne offizielle Zertifizierung zu nutzen. Als Schutzmaßnahme wird der Einsatz zertifizierter Hardware empfohlen. Dazu zählen Produkte wie der Chromecast, Apple TV, die NVIDIA Shield, die Xiaomi Mi TV Box oder der Fire TV Stick 4K. Diese Geräte unterliegen strengeren Sicherheitskontrollen und regelmäßigen Updates, die eine Infektion ab Werk verhindern.

de | wissenschaft | 69908293 |