Wer sich in letzter Zeit nach einem Streaming-Stick umgesehen hat, kennt sie: generische Android-TV-Boxen mit Namen wie H96, T95 oder X96, die für ein Drittel dessen verkauft werden, was ein Roku oder Chromecast kostet, oft mit Spezifikationen, die für den Preis unglaublich gut klingen. Es lohnt sich, vor dem Kauf einen Moment bei dieser Preislücke innezuhalten, denn Forscher haben kürzlich genau gezeigt, wie manche dieser Geräte die Differenz wieder hereinholen – und das nicht durch geringere Gewinnmargen.

Die Sicherheitsfirma Bitsight untersuchte eine solche Geräte-Familie, die H96, nachdem der Forscher Pedro Falé eine abgelaufene Domain registriert hatte, mit der die Boxen weiterhin nach Hause telefonierten. Was er dabei fand, wie Krebs on Security berichtete, war ein großes Ad-Fraud-Netzwerk: Die Geräte gaben sich heimlich als völlig andere Telefone aus – sie identifizierten sich fälschlicherweise als Samsung-, Vivo-, Huawei- und Xiaomi-Handys – und nutzten diese falsche Identität, um Anzeigen auf KI-generierten Websites anzuklicken. Der Effekt: Werbetreibende und Händler werden betrogen, die für Ad-Impressions und Klicks bezahlen, die nie von einer echten Person auf einem echten Telefon stammten. Das kommt noch zu einem bereits bekannten Risiko dieser Geräteklasse hinzu: Manche wurden benutzt, um den heimischen Internetanschluss des Besitzers heimlich an Dritte zu vermieten, wodurch die eigene IP-Adresse zu einem Proxy wird, über den Fremde ihren eigenen Datenverkehr leiten – Datenverkehr, in den man selbst keinerlei Einblick hat und den man nicht überprüfen kann.

Warum ausgerechnet die billigen

Die Wirtschaftlichkeit erklärt das Verhalten. Ein legitimes Android-TV-Gerät – ein Chromecast, ein Nvidia Shield, eine offizielle Google-TV- oder Fire-TV-Box – ist so bepreist, dass es über die Hardware, den App Store oder ein Abo-Ökosystem Geld verdient, und durchläuft vor der Auslieferung einen Zertifizierungsprozess des Herstellers. Eine No-Name-Box, die für einen Bruchteil dieses Preises verkauft wird und hinter der kein erkennbares Unternehmen steht, muss ihre Marge anderswo erwirtschaften. Wenn der Verkaufspreis plausibel weder Herstellung noch Versand noch Gewinn deckt, wird nach dem Verkauf noch etwas anderes monetarisiert – und die naheliegenden Kandidaten sind die eigene Netzwerkbandbreite und die Geräteidentität, weil beide für den Besitzer unsichtbar, für Ad-Fraud- und Proxy-Vermietungs-Betreiber aber wertvoll sind.

Worauf man vor dem Kauf achten sollte

  • Auf einen echten, verantwortlichen Hersteller achten. Google-TV-, Roku-, Amazon-Fire-TV-, Nvidia-Shield- und Chromecast-Geräte sind an ein Unternehmen gebunden, das einen Zertifizierungsprozess durchläuft und einen Ruf zu verlieren hat. Eine Box, die nur unter einer generischen Modellnummer (H96, T95, MXQ, X96 und ähnliche) über Drittanbieter-Marktplätze verkauft wird, hat beides nicht.
  • Auf die Google-Play-Protect-Zertifizierung prüfen. Google führt eine Liste von Android-Geräten, die die Kompatibilitäts- und Sicherheitstests von Play Protect bestanden haben – man kann eine Modellnummer schon vor dem Kauf nachschlagen. Ein nicht zertifiziertes Gerät wurde überhaupt nicht geprüft, was bei etwas, das rund um die Uhr mit dem eigenen Netzwerk verbunden bleibt, eine erhebliche Lücke darstellt.
  • Bewertungen nach den richtigen Beschwerden durchsuchen. Bevor Forscher ein Gerät bei bösartigem Verhalten erwischen, bemerken Besitzer oft zuerst die Nebenwirkungen: unerklärliche Hitzeentwicklung, ein Gerät, das nie zu schlafen scheint, oder einen ungewöhnlich hohen Datenverbrauch für etwas, das doch „nur streamt". Die genaue Modellnummer zusammen mit Begriffen wie „Datenverbrauch", „always on" oder „Proxy" suchen – vor dem Kauf, nicht danach.

Worauf man achten sollte, wenn man schon eine besitzt

  • Nachts einen Blick auf die Geräteliste des Routers werfen. Die meisten Heimrouter zeigen die Bandbreite pro verbundenem Gerät an. Prüfen, was die Streaming-Box um 3 Uhr morgens macht, wenn niemand fernsieht. Gleichmäßiger Upload-Traffic – oder überhaupt Traffic – von einem Gerät, das eigentlich im Leerlauf sein sollte, ist ein Warnsignal, dem man nachgehen sollte.
  • Beobachten, mit wem das Gerät kommuniziert. Wenn der Router Verbindungsprotokolle unterstützt oder man ein Tool wie Pi-hole oder ein ähnliches DNS-Logging-Programm betreibt, sollte man darauf achten, ob die Box wiederholt unbekannte oder wechselnde Domains kontaktiert, statt der Handvoll Streaming-Dienst-Endpunkte, die man erwarten würde.
  • Auf ein separates Netzwerk legen. Die meisten Heimrouter unterstützen ein Gäste-Netzwerk oder, bei besserer Hardware, ein VLAN. Wenn Streaming-Boxen und andere IoT-Geräte von Telefonen, Laptops und Dateifreigaben getrennt werden, begrenzt das den Schaden, falls sich eines von ihnen als bösartig herausstellt – es kann keinen Traffic über Geräte umleiten, die es nicht sehen kann, und eine Kompromittierung dort liefert nicht gleich das restliche Netzwerk mit aus.

Wenn man etwas Verdächtiges findet

Es gibt keine verlässliche Möglichkeit, ein Gerät zu „säubern", dessen Firmware das absichtlich so eingebaut hat – ein Zurücksetzen auf Werkseinstellungen entfernt kein Verhalten, das fest im Firmware-Image verankert ist, und in der Regel gibt es auch keinen legitimen Update-Kanal, um es zu beheben, da der Hersteller es genau so gebaut hat. Die realistischen Optionen sind, das Gerät vom Strom zu nehmen und nicht mehr zu benutzen, oder es durch ein zertifiziertes Gerät eines verantwortlichen Herstellers zu ersetzen. Wenn es eine Weile im Hauptnetzwerk gehangen hat, lohnt es sich außerdem, danach das WLAN-Passwort zu ändern, für den Fall, dass es Gelegenheit hatte, andere Geräte im selben Netzwerk zu beobachten oder mit ihnen zu interagieren.

Die generelle Gewohnheit, die sich lohnt: einen unglaubwürdig niedrigen Preis bei jedem dauerhaft vernetzten Gerät als Frage zu behandeln, nicht als Schnäppchen – denn wenn man nicht erkennen kann, wer den Rabatt eigentlich bezahlt, stehen die Chancen gut, dass man es selbst ist.

Quelle: Bitsight-Recherche zu H96-Android-TV-Boxen, berichtet von Krebs on Security.