Zweite Box H20 pro: Internet-Kommunikations-Analyse der von AliExpress gekauften TV-Box mit Badbox-Malware

Weblog vom 20.01.2025: Internet-Kommunikations-Analyse der zweiten von AliExpress gekauften TV-Box "H20 pro" auf Badbox-Malware Kategorie: IT Security Stichworte: Internet, Router, Station, TVBox, Hongtop, Hongxin, Shenzhen, AliExpress, China, H20, H20 pro, Malware, BadBox, Firmware, Vodafone, BSI, Firmware, SmartTV, Android, ADB, Analyse, File-Analyse, DNS, ycxrl.com

In dem eingehenden Artikel dieser Reihe findet ihr die Story, wie ich mir zwei Android-TV-Boxen auf AliExpress gekauft habe und dann irgendwann eine Warn-e-mail von meinem Provider Vodafone bekam, der mir mitteilte, dass irgendwas bei mir mit der Badbox-Malware infiziert sei und Schindluder im Internet treibe.

Mein Verdacht fiel auf die "üblichen Verdächtigen": Billig-Produkte als China und da hatte ich gleich die beiden TV-Boxen H20 und H20pro im Sinn. Da dank BSI-Sinkhole zur Zeit nicht viel passieren kann, hängte ich das H20 pro wieder ans Internet und beobachtete weiter. Es traten keine Vorfälle mehr auf und damit stand fest: Die mails kamen wegen dem H20 und nicht wegen des H20 pro. Was nicht heißt, dass die H20pro Malware-frei ist, wie sich noch herausstellt.

Dann hatte ich mir das Android-System der H20-Badbox und der H20pro näher angeschaut (Ergebnisse siehe dort) und dabei etwas Verdächtiges bei der H20 gefunden. Die H20pro startete nach der Analyse leider nicht mehr (der generierte Bugreport war zu groß) und ich musste sie erst einmal zur Seite legen, ging aber bis dahin davon aus, dass hier keine Malware vorlag, weil diese keine BSI-mails provoziert hat.

Also hatte ich mir im letzten Artikel erst einmal nur für die H20 Box die Internet-Kommunikation angeschaut. Dabei bestätigte sich, dass sich auf der H20 (gekauft über den Topsion Store) die Badbox-Malware befindet. Die H20 TV-Box verfügt übrigens über eine Rockchip RK3228a CPU (32bit Quad Core) mit einer Mali-400MP2 GPU

Für die zweite, leistungsfähigere Box, nämlich die H20pro mit Allwinner 616-Chipsatz und G31 Mali-Chipsatz (ebenfalls gekauft über den Topsion Store auf AliExpress) konnte ich die Internet-Analyse bisher nicht durchführen, da sie ja nicht mehr startete. Dies konnte ich mittlerweile beheben, so dass die H20pro wieder normal funktioniert.

Nun kann ich also auch die H20pro einer DNS- und HTTP-Analyse unterziehen. Ein erster Blick auf die DNS-Kommunikation zeigte, dass die H20pro die Domain ycxrl.com abrufen wollte, was ein Zeichen für die Infektion mit der Badbox-Malware ist. Die H20 (ohne Pro) benutzte ja noch die Domain dcylog.com, dessen Firmware ist aber auch älter. Wahrscheinlich ändern sich die Domains der Malware im Laufe der Zeit immer wieder. Folgende Domain-Liste konnte ich bisher zusammentragen:

Wer ist ycxrl.com?

YCXRL.COM ist derzeit über godaddy.com registriert, einem großen US-Hoster, der für günstige Preise bekannt ist: und löst sich derzeit zu den IPs 76.223.67.189 und 13.248.213.45 auf: Beide IPs gehören zum selben Rechner a67c48129651a0940.awsglobalaccelerator.com: Das gehört zu Amazon Web Services, Inc. in Seattle, Washington, USA.

Allerdings bezweifle ich, dass die Malware-Entwickler die Domain noch unterhalten, denn die /terminal/client/-Webanfragen werden nicht angenommen, sondern vom derzeitigen Webserver mit einem 405 Method Not Allowed abgewiesen: Sprich, auf der anderen Seite (dem Webserver) ist kein Script, um die Angaben unserer Badbox entgegenzunehmen.

Auch wenn die Domain YCXRL.COM jetzt jemandem anders gehört, scheinen die neuen, derzeitigen Eigentümer auch wenig seriös, siehe https://www.abuseipdb.com/check/13.248.213.45 und https://www.abuseipdb.com/check/76.223.67.189.

Was erfahren wir aus den POST-Requests?

Ich hatte ja schon im vorherigen Artikel herausgefunden, dass die Badbox den Kontakt zum Command-and-Control-Server mit einem POST /terminal/client/... aufnehmen. Auch wenn wir nicht mehr schauen können, was der Malware-Server antwortet, so können wir doch sehen, welche Daten mit dem Post versendet werden.

Schauen wir uns doch mal einen POST //terminal/client/register einmal genauer an: Als App wird von PCAPdroid - der Mitschnitt erfolgte auf der Badbox selbst - leider wieder nur "Android" genannt, wie schon bei der H20. Das ist leider wenig aussagekräftig.

Als erstes fällt der doppelte Schrägstrich beim Post auf: http://ycxrl.com//terminal/client/register. Das sollte eigentlich ein einzelner sein - ob sich hier die Malware-Macher vertippt haben? Aber zur richtigen URL sollte das trotzdem vom Webserver aufgelöst werden. Kein Hindernis also, es fällt einfach nur auf.

Interessant sind die Nutzdaten, die per Post übertragen werden: Die gab es ja auch schon bei der H20 schon: Wie erinnern uns: Diese Daten sind BASE-64-enkodiert und verschlüsselt. Interessant ist, dass der Anfang "NKEoZ74+EV" bei beiden Boxen gleich ist. Das lässt darauf schließen, dass

• das gleiche Verschlüsselungsverfahren verwendet wird
• der gleiche Schlüssel verwendet wird
• der Anfang der Daten der Gleiche ist

Vergleichen wir doch noch einmal die BASE-64-dekodierten Formular-Daten beider Boxen, zuerst wieder die H20pro: dann die H20: Für einen kryptoanalytischen Angriff, der schnell zum Erfolg führen würde, ist das leider noch zu wenig. Aber es gibt bei der H20pro-Box noch weitere POST-Request außer /client/register, nämlich POST /terminal/client/eventinfo: mit den Nutzdaten: was exakt dasselbe wie beim POST /terminal/client/register von oben ist. Das bringt uns also erst einmal nicht weiter.

Und wir stehen wieder an dem Punkt, an dem wir schon nach der Internet-Analyse der H20 Box standen: Um hier weiter zu kommen, müsste man als Erstes das Programm auf der Badbox ausfindig machen, das den HTTP-Post an ycxrl.com abschickt und dieses dann genauer analysieren. Heißt: Reverse Engineering und Dekompilierung betreiben, um herauszufinden, was das Programm macht. Ein Riesen-Aufwand.

Eventuell würde man dann auch die Stelle finden, bei dem der Schlüssel verarbeitet wird und könnte den extrahieren, um dann schließlich herauszufinden, was da genau in den POST-Daten im Klartext übertragen werden soll. Was aber aller Wahrscheinlichkeit gar nicht so interessant sein wird. Wenn sich die POST-Daten von /event-info und /register schon nicht unterscheiden.

Wenn ich raten müsste, was in den POST-Daten im Klartext steht, würde ich darauf tippen, dass dort definiert ist, um welche TV-Box es sich handelt, damit der Command-and-Control-Server (der ja nun für diese Domain abgeschaltet ist) weiß, welche Malware er zum Download verschicken muss. Die Malware-Macher wollen ja schließlich, dass deren Malware auch einwandfrei auf dem Gerät läuft und es nicht etwa zum Absturz bringt, was nur verdächtig wirken würde und den Umsatz drückt.

Da mir der Aufwand eines Reverse Engineering der TV-Box-Software zu hoch ist, werde ich als Nächstes die H20-Box hernehmen und dort ein verdächtiges Paket nach dem anderen über ADB deaktivieren oder deinstallieren. Irgendwann muss ja das Package dabei sein, dass für die Malware verantwortlich ist und dann müssten die /terminal-Abfragen aufhören. Wenn das gutgegangen ist, wären die bösen Packages identifiziert. Dann kann ich dasselbe bei der H20 pro auch noch versuchen. Oder eben ich deinstalliere ein falsches Package und die Box ist bricked.

Um die H20 wäre es nicht schade, aber die H20pro würde ich schon gerne weiter benutzen. Mit dem BSI-Sinkhole und meinen DNS-Umleitungen und den abgeschalteten Domain ist die Malware eigentlich dreifach daran gehindert, Schindluder zu treiben. Aber so ein richtig sicheres Gefühl habe ich erst, wenn die Anfragen aufhören. Und selbst dann bleibt das Restrisiko, dass die Badbox doch noch einen Weg findet.

Aber das soll Stoff für einen weiteren Artikel sein, den ich dann ggf. hier verlinken werde.

Zusammenfassung Netzwerkverkehr Analyse beider Boxen

Die Badbox-Malware auf meiner H20 sowie H20 pro TV-Box kann also durch folgende Vorkommen im Netzwerk-Traffic identifiziert werden:

• Auftauchen von Domainnamen-Auflösungen zu *.sinkhole.caad.fki.fraunhofer.de und ähnlichem (Port 53)
• Anfragen nach dem Domainnamen dcylog.com oder ycxrl.com per DNS (Port 53)
• für ähnliche TV-Boxen, Settop-Boxen und Smart-TVs sollte die Liste der verdächtigen Domains weiter oben beachtet werden
• Bei erfolgreichem Auflösen des Domainnamen Versuch einer POST-HTTP-Verbindung mit verschlüsselten Daten zu /terminal/client/register oder /terminal/client/eventinfo, erst im zögerlichen Intervall, dann steigernd auf 5-Minuten-Takt

Nachtrag 2025-01-31

Im Artikel Entfernen der Badbox Malware von der bei AliExpress gekauften TV-Box H20pro (Allwinner H616 CPU und Mali G31 GPU) kann ich dann einen Erfolg erzielen, die Malware auf dieser Box loszuwerden.

Quellen, Literaturverweise und weiterführende Links