Zehn Millionen billige Android-TV-Boxen sind zum Ziel von Cyberkriminellen geworden – sie werden für Werbefraud, DDoS-Attacken und Datenmissbrauch missbraucht. Auch deutsche Haushalte sind betroffen.
Sicherheitsforscher haben umfangreiche Malware-Operationen aufgedeckt, die sich gegen kostengünstige Android-TV-Boxen richten. Die kompromittierten Geräte werden in kriminelle Netzwerke eingebunden, um Werbebetrug zu begehen, Server lahmzulegen und heimische Internetverbindungen zu missbrauchen. Die am 31. Juli 2026 veröffentlichten Untersuchungen zeigen: Zehntausende dieser Geräte sind bereits infiziert.
Die Fuyao-Operation: Wenn TV-Boxen zu Smartphones werden
Die Analyse des Sicherheitsunternehmens Bitsight beschreibt eine Kampagne namens Fuyao, die preisgünstige Android-TV-Boxen für hochentwickelten Werbebetrug kompromittiert. Die Schadsoftware ist darauf ausgelegt, die Hardware-Identitäten der Geräte umzuschreiben, sodass sie wie Smartphones bekannter Hersteller wie Samsung, Huawei, Xiaomi und Vivo erscheinen.
Indem sich die manipulierten Boxen als Mobiltelefone ausgeben, automatisieren sie Klicks auf Werbeanzeigen auf Websites, die von denselben Betreibern kontrolliert werden. Die Ermittler führen die Infrastruktur hinter dieser Operation auf die Firma Zhejiang Fengwo IoT Technology Co., Ltd. zurück, ein 2019 gegründetes Unternehmen.
Besonders perfide: Die Geräte verhalten sich je nach Nutzung unterschiedlich. Wird ein HDMI-Signal erkannt, fungieren sie als SOCKS5-Proxys und leiten fremden Datenverkehr über die heimische Breitbandverbindung. In anderen Zeiten wechseln sie in den Werbebetrugsmodus.
Das Ausmaß der Fuyao-Operation ist beträchtlich. An einem einzigen Tag verzeichnete ein Sinkhole-Server 65.957 Meldungen von rund 38.000 eindeutigen MAC-Adressen. Schätzungen zufolge spült die Operation täglich umgerechnet rund 42.000 Euro in die Kassen der Täter – hochgerechnet bis zu 36 Millionen Euro Jahresumsatz.
Da Kriminelle immer häufiger Android-basierte Geräte für ihre Zwecke manipulieren, wird ein gezielter Schutz der eigenen Hardware unerlässlich. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihre Geräte wirksam gegen Hacker und Viren absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Kimwolf-Botnet: Millionen infizierte Geräte
Parallel dazu haben Forscher eine weitere massive Bedrohung identifiziert: das Kimwolf-Botnet, eine Variante des Aisuru-DDoS-Botnets. Seit seinem Auftauchen im August 2025 soll diese Schadsoftware mehr als zwei Millionen Android-Geräte infiziert haben – mit einem deutlichen Schwerpunkt auf Smart-TVs und günstigen TV-Boxen.
Die Kimwolf-Malware wird häufig bereits ab Werk installiert oder nutzt offene Android-Debug-Bridge-Ports (ADB) aus. Das Botnet generiert Einnahmen über mehrere Kanäle: Die Bandbreite der infizierten Geräte wird an das Proxy-Netzwerk IPIDEA vermietet – für umgerechnet etwa 18 Cent pro Gigabyte. Hinzu kommen erzwungene App-Installationen und DDoS-Angriffe als Dienstleistung.
Die Schlagkraft des Botnets ist beachtlich: Ein Spitzenangriff erreichte nach Branchenangaben eine Kapazität von 29,7 Terabit pro Sekunde. Besonders betroffen sind Brasilien, Argentinien, Vietnam und Saudi-Arabien.
Behörden schlagen zurück
Die Enthüllungen folgen auf eine gemeinsame Operation von FBI und Google, die sich gegen die Infrastruktur von Residential-Proxy-Netzwerken wie IPIDEA und NetNut richtete – auch bekannt als BadBox 2.0. Diese Netzwerke nutzten Software-Entwicklungskits (SDKs) in Android- und Windows-Anwendungen, um Verbrauchergeräte in Ausgangspunkte für Brute-Force-Angriffe und andere Cyberkriminalität zu verwandeln.
Wer im Internet surft oder Online-Banking nutzt, ist oft unbewusst Ziel von Cyberkriminellen, die Sicherheitslücken in veralteter Software ausnutzen. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie durch die richtigen Updates Datenverlust und Malware dauerhaft verhindern. Kostenlosen Sicherheits-Ratgeber herunterladen
Woran erkenne ich eine infizierte TV-Box?
Sicherheitsexperten nennen typische Anzeichen für eine kompromittierte Box: ungewöhnliche Überhitzung, deutliche Netzwerkaktivität in den späten Nachtstunden und fehlende Google-Play-Protect-Zertifizierung. Ein normaler Werksreset reicht oft nicht aus, da die Malware tief in der Geräte-Firmware verankert ist.
Die Empfehlung der Analysten: auf zertifizierte Hardware etablierter Anbieter wie Chromecast, Apple TV oder Nvidia Shield setzen, die strengere Sicherheitsprotokolle bieten. Wer bereits eine günstige Box besitzt, sollte den Netzwerkverkehr beobachten und im Zweifel das Gerät vom Router trennen.
