CyberTVLab
← Alle Artikel

Analyse · Von CYBERTVLAB ·

Das Botnetz-Problem der TV-Boxen: von BadBox bis Kimwolf

Seit drei Jahren ist eine der zuverlässigsten Malware-Lieferketten der Unterhaltungselektronik die günstige TV-Box. Die Kampagnen ändern sich ständig. Die Marktbedingungen, die sie ausnutzen, nicht.

Ein Muster, das sich wiederholt

Die folgenden Kampagnen sind keine einzige zusammenhängende Malware-Familie. Es sind getrennte Operationen — unterschiedliche Gruppen, unterschiedlicher Code, teils überlappende Infrastruktur —, die immer wieder dieselben Bedingungen ausnutzen: günstige Android-Hardware, undurchsichtige Firmware-Lieferketten, schwache oder fehlende Update-Wege und Geräte, die jahrelang online und unbeaufsichtigt bleiben.

Die technischen Wurzeln reichen auf einem Zweig der Geschichte tatsächlich tief. Kaspersky-Forscher dokumentierten den Triada-Trojaner erstmals 2016 und nannten ihn einen der fortschrittlichsten mobilen Trojaner seiner Zeit. Triada-basierte Backdoors verliehen der BadBox-Linie ihre Ausdauer; andere Kampagnen fanden auf anderen Wegen zu denselben Geräten. Kaspersky, das mehrere dieser Familien untersucht hat, erklärt, Verbindungen zwischen Triada, Vo1d und BADBOX bestätigt zu haben — gemeinsame C2-Infrastruktur und ein Angriff von 2022, bei dem WhatsApp-Mods sowohl Triada als auch BADBOX enthielten, den die Forscher als „einen gemeinsamen Angriff der BADBOX- und Triada-Betreiber" beschreiben — und warnt zugleich, dass solche Verbindungen nicht zwangsläufig transitiv sind.

Die Kapitel für Verbraucher folgten schnell. 2023 enthüllte das Satori-Team von HUMAN Security BadBox: rund 74.000 Geräte mit einer Backdoor, die die Forscher als Triada-basiert beschrieben. Im September 2024 meldete Doctor Web Vo1d — eine ganz andere Backdoor — auf fast 1,3 Millionen Android-TV-Boxen in 197 Ländern, eingepflanzt in die Systempartition, wobei der Infektionsvektor nie geklärt wurde.

Dann kam BadBox 2.0. Im März 2025 von HUMAN Security gemeinsam mit Google, Trend Micro und der Shadowserver Foundation enthüllt, infizierte es zum Zeitpunkt der Offenlegung rund eine Million Geräte — überwiegend markenlose, nicht zertifizierte Hardware: TV-Boxen, Tablets, Projektoren und nachgerüstete Auto-Infotainment-Einheiten. Seine Kern-Backdoor BB2DOOR gilt als Triada-basiert und erreichte Geräte auf drei Wegen: eine vorinstallierte Komponente, Code, der beim ersten Start von einem entfernten Server geladen wurde, und mehr als 200 trojanisierte Versionen beliebter Apps, die über Drittanbieter-Stores verbreitet wurden. Zu den in der Forschung genannten Modellen gehören X96mini, MXQ9PRO, KM9PRO und TV98 — vier Einträge aus einer Liste von 56 Modellen im Anhang des Berichts. Diese Namen kommen jedem bekannt vor, der schon einmal auf einem Marktplatz nach einer „smarten TV-Box" gesucht hat.

Verkehr wurde aus 222 Ländern beobachtet, und das Sinkholing von Shadowserver zeigte, dass rund eine halbe Million Geräte weiterhin nach Hause telefonierten. Google erklärt, Play Protect aktualisiert zu haben, um Apps mit BadBox-Verhalten zu blockieren, und verklagte im Juli 2025 die Betreiber der Operation vor dem Bundesgericht in New York — mit der Beschreibung von über zehn Millionen nicht zertifizierten Geräten, die über die Laufzeit der Kampagne kompromittiert wurden. Diese Zahl und die von HUMAN sind beide wahr, und sie messen unterschiedliche Dinge: etwas mehr als eine Million Geräte zur Offenlegung im März 2025; über zehn Millionen fünf Monate später für die gesamte Operation beansprucht. Keine von beiden ist eine präzise Zählung.

Ein Modellname in einer Indikatorliste der Forschung beweist nicht, dass jedes unter diesem Namen verkaufte Gerät betroffen ist — Hardwarerevisionen, Firmware-Versionen und Lieferketten-Chargen unterscheiden sich. Prüfen Sie die genaue Version, bevor Sie Schlüsse über ein Gerät ziehen, das Sie besitzen.

Und das Muster hörte nicht auf. Im Dezember 2025 meldete QiAnXins XLab Kimwolf, ein DDoS-Botnetz von rund 1,8 Millionen Android-Geräten — Fernseher, Set-Top-Boxen, Tablets — mit Hardware der Marken SuperBox und X96Q auf der Opferliste, und ordnete es mit hoher Konfidenz der Gruppe Aisuru zu — unter anderem wegen eines gemeinsamen Signaturzertifikats und wiederverwendeter Infrastruktur. Im Februar 2026 zeigte Kasperskys Keenadu-Studie dasselbe Lieferketten-Drehbuch eine Ebene tiefer: eine Backdoor, die in die Firmware neuer Geräte eingebettet war — Tablets, in jedem von den Forschern analysierten Fall —, darunter eine System-App zur Gesichtserkennung, die Kaspersky als den ersten Trojaner beschrieb, den es in einem Gesichtserkennungsdienst angetroffen habe. Im Mai 2026 fasste Kaspersky Befunde zu mehreren Ende 2025 untersuchten SuperBox-Einheiten zusammen: Firmware, die beim Hochfahren Server der Messaging-App Tencent QQ und des Proxy-Dienstes „Grass" kontaktierte — praktisch die Internetverbindung des Besitzers vermietete — und die mit einem Netzwerkscanner, einem Verkehrsanalysator und DNS-Hijacking-Werkzeugen ausgeliefert wurde, die sie einsatzbereit vorhielt. Im April 2026 wurden diese Boxen noch immer offen auf großen Plattformen verkauft.

Diese letzte Unterscheidung zählt, und sie gilt für die gesamte Chronologie: Die Proxy-Verbindungen wurden von Forschern beobachtet; die Scan- und DDoS-Fähigkeiten wurden aus dem Code bewertet. „Zu etwas fähig" und „dabei beobachtet" sind verschiedene Aussagen — und beide verdienen ernsthafte Beachtung.

Warum TV-Boxen

Nichts davon ist Zufall. Eine TV-Box ist ein nahezu idealer Wirt für diese Art von Malware:

  • Die Ökonomie belohnt Abkürzungen. Ein zertifiziertes Gerät zu bauen — Kompatibilitätstests, lizenzierte Google-Apps, eine Update-Pipeline — kostet Geld. Genau durch das Streichen dieser Kosten erreicht eine Box einen aggressiven Preis. Die Infektion geschieht oft irgendwo in der Lieferkette, und die Marke auf der Box weiß möglicherweise selbst nichts davon.
  • Immer an, selten beobachtet. Diese Geräte bleiben jahrelang verbunden und in Betrieb, lange nachdem jemand sie gepatcht hätte — und kaum jemand prüft je, was eine Streaming-Box tut.
  • Sie leben im Heimnetz. Eine Box im Wohnzimmer teilt sich das WLAN mit Telefonen, Laptops, NAS-Laufwerken, Kameras und smarten Schlössern. Malware dort bleibt nicht dort isoliert.

Worum es der Malware wirklich geht

Der Betrug ist banaler — und profitabler — als eine dramatische Übernahme. Die dokumentierte Monetarisierung umfasst programmatischen Werbebetrug (versteckte Anzeigen und verborgene Web-Ansichten), Klickbetrug, die Erstellung falscher Konten und eine der am schnellsten wachsenden Kategorien: residenzielle Proxys. Letzteres bedeutet, dass ein Fremder Ihre Internetverbindung mieten und online als Sie erscheinen kann. Von außen kann Verkehr von Ihrer IP-Adresse mit Betrug, Spam und Missbrauch verknüpft werden — und die sichtbaren Folgen (blockierte Registrierungen, endlose CAPTCHAs, Dienste, die Ihre Verbindung als feindlich behandeln) treffen Ihren Haushalt, nicht den Betreiber.

Zu den über diese Kampagnen dokumentierten Folgerisiken gehören Kontoübernahmen, das Abfangen von OTPs, das Scannen des Heimnetzes und DNS-Manipulation, die Geräteverbindungen stillschweigend umleiten kann.

Was wirklich hilft

  • Bevorzugen Sie zertifizierte Geräte. Die Play-Protect-Zertifizierung ist die klarste Trennlinie — wie Sie Ihre prüfen, erklären wir in unserem Zwei-Minuten-Leitfaden.
  • Deaktivieren Sie niemals den Schutz der Plattform — Play Protect auf zertifizierten Android-TV- und Google-TV-Geräten oder die integrierten Kontrollen auf anderen Plattformen — und behandeln Sie Anleitungen wie „Deaktivieren Sie X, um die Einrichtung abzuschließen" als Warnsignal.
  • Segmentieren Sie Ihr Netzwerk. Stellen Sie Fernseher, Kameras, Lautsprecher und Saugroboter in ein separates WLAN von Telefonen, Computern und NAS-Laufwerken — und prüfen Sie, dass die Trennung den Zugriff auf Ihr lokales Netzwerk tatsächlich blockiert, denn ein falsch konfiguriertes Gästenetz vermittelt ein falsches Sicherheitsgefühl.
  • Halten Sie Firmware und Router aktuell, und entfernen Sie jede App, die Sie nicht selbst installiert haben — zusätzliche Stores, „Booster", „Cleaner".

Und wenn Sie vermuten, dass die Box selbst kompromittiert ist — vorinstallierte Extras, die Sie nie installiert haben, unerklärlicher Verkehr —, hilft das Deinstallieren von Apps möglicherweise nicht: Solche Implantate leben in der Systempartition, und ein Werksreset entfernt sie womöglich nicht. Trennen Sie sie vom Netzwerk, nutzen Sie sie nicht mehr für sensible Konten, prüfen Sie, ob der Hersteller eine saubere, signierte Firmware veröffentlicht, und ersetzen Sie das Gerät, wenn die Vertrauenskette nicht wiederhergestellt werden kann. Eine App, die auf kompromittierter Firmware läuft, kann nicht vollständig darauf vertrauen, zu sehen oder zu entfernen, was darunter liegt.

Die gute Nachricht: Das ist ein gut dokumentiertes Problem mit einem erkennbaren Satz von Abwehrmaßnahmen. Der unbequeme Teil: Dieselben Marktbedingungen haben inzwischen etwa jedes Jahr eine neue Operation hervorgebracht — und die Boxen stehen immer noch in den Regalen.

Quellen

Deltavant ist eine Antimalware-App, die direkt auf dem Gerät läuft, für Android TV und Google TV, derzeit in geschlossener Testphase bei Google Play. Mehr über Deltavant.