Was meine 30-Euro-TV-Box heimlich nach Hause funkt

Für meine Digital-Signage-Lösung iamscreen suche ich immer günstige Player: Hauptsache, sie spielen Full-HD sauber ab und machen im Dauerbetrieb nicht schlapp. Eine Allwinner-H618-Box mit Android 12 hat das erstmal gut erfüllt, für keine 30 Euro.

Bevor so eine Kiste bei einem Kunden hinter den Fernseher wandert, will ich aber wissen, was da eigentlich alles mitläuft. Also hab ich die vorinstallierten Hersteller-Apps runtergezogen und mir angeschaut, was sie tun.

Kurzfassung: Die Box hält eine dauerhafte, unverschlüsselte Verbindung zum Hersteller offen. Über die lässt sie sich aus der Ferne sperren, zurücksetzen und umbauen. Und sie ist so gebaut, dass dein Router-Blocker und selbst TLS dir dabei nicht helfen. Hier steht, was ich gefunden habe und was du dagegen tun kannst.

Alles hier stammt aus der Analyse meiner eigenen Geräte und der darauf vorinstallierten Apps. Ich veröffentliche bewusst keine Anleitung, mit der man fremde Boxen fernsteuern könnte, und auch keine echten Geräte- oder Kundendaten. Es geht darum, dass Besitzer solcher Boxen das Risiko verstehen und ihre Geräte absichern können. Den Hersteller habe ich vorab informiert.

Vier Apps, die keine sein wollen

Neben dem üblichen Kram (vorinstallierte Streaming-Apps, ein eigener App-Store) sind vier Pakete installiert, die sich absichtlich unauffällig geben. Zwei davon tarnen sich sogar mit Namen, die wie Teile von Android aussehen:

Dass ausgerechnet der Fernwartungs-Dienst deviceheartbeat heißt und der OTA-Dienst sich android.settings nennt, ist kein Zufall. Wer in der App-Liste nach „verdächtig" sucht, geht an beiden vorbei.

Die Dauerleitung zum Hersteller

Der interessanteste Brocken ist deviceheartbeat. Die App baut beim Start eine MQTT-Verbindung zu einem Server des Herstellers auf und hält sie offen. MQTT ist das übliche Protokoll für „kleines Gerät spricht mit Cloud". An sich völlig normal.

Das Problem ist das Wie:

• Die Verbindung läuft über Port 1883 als reines TCP – also ohne TLS, im Klartext. Wer im selben Netz mitschneidet, liest alles mit.
• Direkt beim Verbinden meldet die Box einen Steckbrief über sich: MAC-Adresse, Seriennummer, Board-Plattform, Modell, Firmware-Version – und den Kundennamen. Alles unverschlüsselt.
• Danach abonniert sie einen Kanal und wartet auf Befehle vom Server.

Das heißt: Die Box fragt nicht ab und zu „gibt's was Neues?". Sie hängt rund um die Uhr an einer Leine, an der der Hersteller jederzeit ziehen kann.

Fernbedienung inklusive Notaus

Jetzt wird's unangenehm. Die Befehle, die über diese Leitung reinkommen können, hab ich im Code gefunden. Darunter sind nicht nur harmlose Sachen wie „zeig eine Benachrichtigung":

• Box sperren – setzt das Gerät auf „deaktiviert" und blendet einen bildschirmfüllenden Warnhinweis ein, der sich nicht wegklicken lässt (die Zurück-Taste ist abgefangen). Mitten im Dialog steht die MAC-Adresse der Box.
• Länder-Sperre – dasselbe Spiel, nur mit „in deinem Land nicht erlaubt" als Begründung.
• Firmware-Update sofort auslösen – die Box zieht und installiert ein Update, wann der Server es sagt.
• App deinstallieren – ein verketteter Befehl an einen zweiten Dienst kann beliebige Pakete von der Box werfen.
• Neustart und – der Hammer – Werksreset.

Ein Werksreset per Fernbefehl bedeutet: Der Betreiber dieser Leitung kann deine Box jederzeit auf null setzen. Alles weg, Gerät wieder wie frisch ausgepackt. Bei einem 30-Euro-Spielzeug im Kinderzimmer ärgerlich. Bei einem Gerät, das bei einem Kunden eine Anzeigetafel oder Kasse steuert, ein echtes Problem.

Warum das „Passwort" keins ist

Jetzt denkst du vielleicht: „Na gut, aber da ist doch sicher ein Passwort auf der MQTT-Verbindung." Ist es. Nur ergibt es aus Sicherheits-Sicht keinen Sinn.

Das Passwort wird aus der MAC-Adresse und der Seriennummer der Box errechnet – also aus genau den Werten, die die Box selbst beim Verbinden unverschlüsselt rausschickt. Ein Geheimnis, das man aus öffentlich sichtbaren Daten nachrechnen kann, ist kein Geheimnis. Es ist Deko.

Ich schreibe hier bewusst nicht hin, wie die Rechnung genau aussieht – das wäre die Bauanleitung, die ich nicht liefern will. Aber das Prinzip reicht, um zu verstehen, wie wenig dahintersteckt. Als i-Tüpfelchen schreibt die App das fertige Passwort auch noch im Klartext ins Geräte-Log. Wer per ADB mitliest, bekommt es frei Haus.

Dein Pi-hole hilft hier nicht

Viele denken: „Ich blocke die Hersteller-Domains halt im Router oder im Pi-hole, dann ist Ruhe." Nette Idee, funktioniert hier aber nicht.

Die Apps fragen ihre Server-Adressen nicht über den normalen DNS deines Routers ab, sondern über DNS-over-HTTPS direkt bei öffentlichen Resolvern (Google, Cloudflare, Alibaba und ein paar fest einprogrammierte IPs). Die Namensauflösung läuft damit an deinem Netzwerk-Filter vorbei. Dein Pi-hole sieht die Anfrage gar nicht erst.

Das ist genau die Technik, mit der man eigentlich Zensur umgeht. Hier wird sie benutzt, um die Kontrolle des Besitzers über sein eigenes Netz auszuhebeln.

Und TLS? Ausgeschaltet.

Bleibt die Hoffnung, dass wenigstens die verschlüsselten Verbindungen (die DoH-Anfragen, der Firmware-Download) sauber abgesichert sind. Sind sie nicht.

Alle HTTPS-Clients in diesen Apps benutzen einen Zertifikatsprüfer, der grundsätzlich alles durchwinkt, plus einen Hostnamen-Check, der immer „passt schon" sagt. Im Klartext: Die Zertifikatsprüfung ist komplett abgeschaltet. Jeder, der sich zwischen Box und Internet setzen kann, kann sich als Hersteller-Server ausgeben, ohne dass die Box es merkt.

Damit ist nicht mehr nur der Hersteller eine mögliche Gefahr, sondern jeder, der im Netzpfad sitzt – im schlecht gesicherten WLAN, beim fragwürdigen Provider, im kompromittierten Router.

Der Wachhund

Vielleicht denkst du jetzt: „Dann schmeiß ich den Kram halt runter." Guter Plan, aber com.android.boxguide redet da ein Wörtchen mit.

Dieser Dienst startet bei jedem Boot und installiert Apps aus einem geschützten Systemordner stillschweigend nach. Wenn du also einfach die Hersteller-Apps deinstallierst und die Box neu startest, sind sie wieder da. Deshalb muss zuerst der Wachhund weg, erst danach bleibt der Rest entfernt.

Wie schlimm ist das jetzt wirklich?

Bleiben wir ehrlich, ohne Panik:

• Damit jemand deine Box fernsteuert, muss er entweder den Hersteller-Server kontrollieren (der Hersteller selbst, oder wer auch immer den mal übernimmt) oder im Netzpfad deiner Box sitzen. Das ist kein „jeder im Internet drückt auf Werksreset".
• Für den Alltag im Wohnzimmer ist das überschaubares Risiko. Der eigentliche Skandal ist das Design: unverschlüsselt, Pseudo-Passwort, DNS-Tricks gegen den Besitzer, abgeschaltetes TLS, Fernbefehle bis zum Werksreset, getarnte Paketnamen. Das ist keine Verkettung von Schludrigkeiten, das ist so gebaut.
• Was mich stört: Du kaufst das Ding, es gehört dir – und trotzdem behält ein Dritter einen Schlüssel für die Hintertür. Dazu wandert dein Kundenname im Klartext durchs Netz.

Für ein Gerät, das nur YouTube abspielt, kann man das abtun. Für eins, das im Firmennetz hängt oder beim Kunden was Wichtiges anzeigt, ist es ein No-Go.

Was du tun kannst

Je nachdem, wie tief du gehen willst:

1. Netz isolieren (das Wichtigste, geht immer) Steck solche Boxen in ein eigenes WLAN/VLAN ohne Zugriff aufs restliche Netz. Viele Router können ein Gäste-WLAN, das reicht als Trennung schon. Dann kann das Ding nach Hause funken, kommt aber nicht an deine anderen Geräte ran.

2. Die Hersteller-Dienste entfernen (für Bastler, per ADB) Mit aktiviertem Entwickler-Modus und ADB lassen sich die Pakete abschalten bzw. entfernen. Wichtig ist die Reihenfolge: erst com.android.boxguide stilllegen (sonst holt der Wachhund alles zurück), dann die anderen. Betroffen sind die vier Pakete aus der Tabelle oben. Für meine iamscreen-Boxen hab ich mir dafür ein kleines Skript gebaut, das die Reihenfolge einhält und am Ende prüft, ob wirklich alles weg ist – das häng ich bei Gelegenheit als eigenen Beitrag dran.

3. Für ernste Einsätze: andere Hardware Wenn eine Box etwas Sensibles machen soll, würde ich zu Geräten greifen, bei denen man das OS selbst in der Hand hat (eigenes Linux-/Kiosk-Image), statt einem fertigen Android mit fremder Fernwartung drin. Kostet mehr Aufwand, aber du weißt, was läuft.

Fazit

Billig ist nicht immer günstig. Die Box selbst ist Hardware fürs Geld okay – das Problem ist, was der Hersteller an Software draufgepackt hat und wie leichtfertig das gebaut ist. Eine Dauerleitung mit Notaus-Knopf, abgesicherter durch ein Passwort, das keins ist, an deinem Router-Filter vorbei und ohne TLS. Für meine eigenen Player fliegt der Kram runter und die Dinger hängen im isolierten Netz.

Wenn so eine Box bei dir läuft: Pack sie wenigstens ins separate Netz. Das ist in fünf Minuten erledigt und nimmt dem Ganzen den größten Zahn.