Google 1,3 Milyon Cihazlı Android Botnet’ini Ezecek: TV Kutusu Üreticisi Suçlu Erişimi Sattı.

Görsel Kaynağı: The Hacker News

Ekim sonunda, çoğunluğu TV set-top kutularından oluşan 1.3 milyondan fazla Android cihazdan oluşan bir botnet, Google‘ın önderliğinde yürütülen operasyonla sunucu kontrolünü kaybetti.

Google, cihaz üreticisi Videostrong‘un kutulara kasıtlı bir arka kapı yerleştirdiğini ve bu erişimi suçlulara sattığını son derece kesin bir şekilde inandığını belirtiyor.

Kutular, reklam dolandırıcılığı için ve diğer insanların internet trafiğini kullanıcıların ev bağlantıları üzerinden yönlendirmek için kullanıldı. Arka kapı hâlâ kutularda bulunuyor ve kullanıcılar bunu kendileri kaldıramıyor.

Çin’in Shenzhen şehrinde bulunan Videostrong, kendi markası altında ve diğer markalar için Android TV kutuları ve diğer cihazlar üretiyor. x.cpe adlı arka kapı, yıllar içinde birçok cihaz modeline ve markasına yerleştirildi. Google, bunun suça teşebbüs eden bir iç görevli ya da bir hatadan kaynaklandığını düşünmüyor.

Google, botnet’i kontrol eden alan adlarını ve sunucuları kaldırmak için hukuki işlem yürüttü. Aynı zamanda arka kapı üzerinden yüklenen, ondan fazla kötü amaçlı yazılım ailesinin kontrol alan adlarını da kaldırdı. Operasyona Japonya Ulusal Polis İdaresi, Lumen, HUMAN Security, Plume, Synthient ve TrendAI katıldı.

Bu kötü amaçlı yazılımı başka yollarla da yayaran suçlular nedeniyle Google’ın, eylemin en az 10 milyon başka enfekte cihazın erişimini kesmesi bekleniyor. Google, arka kapı işletmecilerinin ve onlardan satın alan suçluların, kurulumlarının bir parçası bozulduğunda hızla yeni araçlara geçeceğini uyarıyor.

Google, Videostrong ile ilişkilerini kesti. Şirketi ve gelecekteki iştirakleri ya da bağlı ortaklıkları, sertifikalı Android cihazlar üretmek veya satmak ve diğer sertifikalı cihaz üreticilerine yazılım sağlamak için yasaklandı.

Arka Kapı Ne Yaptı

Google’ın analizine göre, x.cpe arka kapısı, sistem düzeyinde erişime sahip olarak, yazılımın içinde bir sistem uygulaması olarak çalışıyor. Botnet’in komut ve kontrol (C2) sunucularına raporluyor ve emirleri bekliyor. Sessizce yazılım yüklemek için önce Android’in yerleşik güvenlik özelliği Google Play Protect’teki uygulama kontrollerini kapatıyor.

Arka kapı üzerinden botnet operatörleri, sahibinin haberi olmadan uygulama kurabilir, komut çalıştırabilir, ekranı yakalayabilir ve kutunun bulunduğu ağı haritalayabilir.

Görsel Kaynağı: The Hacker News

Google, Videostrong’ün operatörlerinin bu yetkilerden bazılarını kullandığını görüyor. Canlı ekran görüntüleri aldılar, tuş vuruşları gönderdiler, hesap bilgilerini, cihaz bilgilerini, uygulama listelerini ve sistem günlüklerini kopyaladılar ve kutuya uzaktan komut satırına olanak tanıyan ters kabukları açtılar.

Criminallerin modüllerinin, arka kapı üzerinden yüklenen eklenti programlarının çoğu, kutuları konut proxy’sine dönüştürüyor ya da artan bant genişliklerini satıyordu. Bir konut proxy hizmeti, bir ev internet bağlantısına erişim satar, böylece bir müşterinin trafiği sıradan bir haneden geliyormuş gibi görünür. Diğer modüller ise çevrimiçi reklamların görüntülenmesini sahteledi.

Enfekte cihazların çoğu Android TV setüstü kutuları, ancak arka kapı aynı zamanda tele-sağlık cihazlarında, karaoke makinelerinde ve dijital tabelalarda da ortaya çıktı.

Trend Micro’nun kurumsal iş birimi olan TrendAI, 3 Haziran ile 1 Ekim arasında 206 modelde 1.472.554 enfekte cihaz saydı ve gerçek sayının en az bunun kadar yüksek olduğunu belirtiyor. En fazla sayı Malezya, Brezilya, Irak, Meksika ve Tayvan’daydı. ABD, Almanya, İngiltere, Avustralya ve Kanada’nın her biri yaklaşık 26.000 ile 42.000 arasındaydı.

Sahiplerin Yapabileceği Şeyler

Proxy ağlarını ve botnet’leri izleyen Synthient, kampanyada görülen 182 cihaz model adından oluşan bir liste yayımladı. Liste, bir model adının tek başına bir kutunun enfekte olduğunu kanıtlamadığını uyarıyor.

Synthient’ın raporu, MECOOL markalı kutulara odaklanıyor ve bunları Videostrong ile ilişkilendiriyor. Bir MECOOL KM9PRO Max satın aldı ve arka kapının önceden yüklü olduğunu buldu. İnternet sağlayıcıları için Wi-Fi yazılımı üreten Plume, botnet’in kontrol sunucusunu kullanan bir düzineden fazla farklı cihaz buldu; bunların çoğu MECOOL menşeliydi.

Görsel Kaynağı: The Hacker News

x.cpe, firmware’in bir parçası olduğu için kaldırılması kalıcı olmuyor. Kutu yeniden başladığında kendini yeniden kuruyor. TrendAI, arka kapının üreticinin anahtarıyla imzalanmış bir sistem uygulaması olarak çalıştığını söylüyor, bu yüzden temizliğin “üretici aksiyonu, platform koruması veya cihazın değiştirilmesini” gerektirdiğini belirtiyor.

Plume, modüllerin daha fazla arka kapı kurmuş olabileceğini belirterek tam fabrika ayarlarına sıfırlamayı öneriyor ancak sıfırlamanın x.cpe’yi kendisi kaldırıp kaldırmadığına dair bir bilgi vermiyor. Synthient konuyu ileri taşıyarak tüketicilere kutuları tamamen çöpe atmalarını tavsiye ediyor, çünkü bunların kötü amaçlı yazılım riskinin yüksek olduğunu vurguluyor.

Kurumlar için Synthient şu adımları öneriyor:

• Ağ üzerinde MECOOL veya benzeri cihazları bulmak için yayımlanan göstergeleri kullanın.
• Tespit edilen herhangi bir cihazı bağlantısını kesin ve çöpe atın.
• Raporunda listelenen kontrol alan adlarını ve IP adreslerini engelleyin.
• Diğer akıllı cihazları hassas sistemlerden uzak tutarak ayrı ağ bölümlerinde tutun.

TrendAI, uzaktan çalışan personeli olan şirketlere ev ağlarındaki yönetimsiz tüketici cihazlarını saldırı yüzeylerinin bir parçası olarak değerlendirmeyi ve kurumsal erişimi yönetimli cihazların arkasında tutmayı tavsiye ediyor.

Videostrong Nasıl Tespit Edildi

Google’ın hesabına göre x.cpe, C2 sunucusundan ayarları Videostrong’un diğer uygulamalarına, arasında YokaTV Player akış uygulaması da bulunuyor, aktarıyor. Botnet’in paketlerini barındıran GitHub hesaplarından biri yf-videostrong adını taşıyor.

Google ile çalışan Synthient, Videostrong’un operasyonu yürüttüğüne dair yüksek bir güvenle sonuç çıkarıyor. Bunu, botnet’in sunucularından birindeki açık bir klasörde Videostrong’un araştırma ve geliştirme müdürü tarafından imzalanmış bir belgeye ve operatörlerin kontrol paneliyle ortak bir IP adresi kullanan bir Videostrong web alan adına dayandırıyor.

Plume, Videostrong’un hem bu cihazlar için hem de onları uzaktan yönetmek için kullanılan araçları sağladığını tespit etti.

Google’ın Cihaz Testlerinde Bir Açık

Google, cihaz üreticilerinin uyumluluk ve güvenlik testlerinden geçmesini zorunlu kılıyor. Videostrong’un bu açıkta kodunu gizleyerek testi atlatıp kötü amaçlı kodu cihazın ilk açılışından sonra yüklediğini belirtiyor.

Google inceleme sürecini değiştirdi ve sertifikalı Android TV cihazlarının firmware’ine yönelik kontrollerini iyileştiriyor.

2 Kasım itibarıyla Videostrong’un kendi web sitesinde “Google Certified Android TV Box” ve “Google Certified Android TV Stick” olarak adlandırdığı ürünler listeleniyordu.

Plume, botnet’in hem Google sertifikalı hem de Android Kaynaklı Açık Proje (AOSP) sürümünü çalıştıran cihazları içerdiğini belirtti. Google’ın raporu, etkilenen sertifikalı cihaz sayısını belirtmiyor.

Google, Temmuz 2025’te BadBox 2.0 botnet’i nedeniyle dava açtığında,涉及的 10 milyondan fazla cihaz sertifikalı değildi.