Google, Android TV kutularındaki XCPE botnet'ini çökertti; üretici Videostrong'u yasakladı

İçindekiler · 3 bölüm

1. Nasıl çalışıyordu?
2. Google’ın hamleleri
3. Cihaz sahipleri ne yapmalı?

Google, Android TV kutularının donanım yazılımına yerleştirilen XCPE adlı arka kapıyı ve bu arka kapıyla kurulan botnet’i çökerttiğini 2 Kasım’da duyurdu. Help Net Security ve BleepingComputer’in aktardığına göre Google Tehdit İstihbarat Grubu, arka kapının ve botnet’in finansal kazanç için kasıtlı olarak geliştirildiğini ve işletildiğini yüksek güvenle Çinli üretici Videostrong Technology’ye atfediyor. Botnet’e 1,3 milyondan fazla cihaz bağlanmıştı.

Nasıl çalışıyordu?

Aktarılanlara göre Videostrong, cihazlardaki erişimi suç ortağı gruplara satıyordu. Bu gruplar kutulara kendi modüllerini yükleyerek gizli reklam gösterimi yaptırıyor, cihazları konut vekil sunucu ağlarına katıyor, hesap bilgileri ve sistem kayıtları çalıyor, ek zararlı yazılım kuruyordu. Operatörler canlı ekran görüntüsü alabiliyor, tuş vuruşu enjekte edebiliyor ve cihazda komut satırı açabiliyordu.

Ana bileşenler sistem yetkisiyle çalışıyor, silinse bile korumalı bir bölümden kendini yeniden kuruyordu. Zararlı yazılım Google Play Protect’i de devre dışı bırakabiliyordu.

Google’ın hamleleri

• Komuta-kontrol alan adları ve sunucuları için hukuki işlem başlattı; bir düzineden fazla zararlı yazılım ailesinin altyapısı hedef alındı.
• Videostrong ile bağını kesti, şirketin Google uygulamalı Android TV cihazı üretme lisansını iptal etti.
• Videostrong’u ve gelecekteki bağlı kuruluşlarını sertifikalı Android cihaz üretiminden ve sertifikalı üreticilere yazılım sağlamaktan yasakladı.
• Sertifikalı Android TV cihazlarda yazılım bütünlüğü denetimlerini sıkılaştırdı ve üretici inceleme sürecini değiştirdi; çünkü Videostrong gizleme teknikleriyle test sürecini atlatmıştı.

Google, alan adlarının kapatılmasıyla enfekte olmuş en az 10 milyon cihaza daha erişimin kesildiğini tahmin ediyor. Bu cihazlar başka yollarla bulaşmış ve karaoke makineleri, tele-sağlık cihazları gibi ürünleri de içeriyor.

Operasyonda Japonya Ulusal Polis Teşkilatı ile Lumen, HUMAN Security, Plume, Synthient ve TrendAI de yer aldı. Synthient’in anlattığına göre izler, 2025’in sonunda satın alınan bir MECOOL KM9PRO Max kutusuna önceden yüklenmiş zararlı yazılıma kadar sürüldü.

Cihaz sahipleri ne yapmalı?

Kontrol sunucuları kapatılsa da zararlı yazılım enfekte cihazlarda duruyor. BleepingComputer’e göre kullanıcıların temiz bir donanım yazılımı kurması ya da cihazı internetten ayırması gerekiyor. Haberlerde Türkiye’deki cihazlara dair bir bilgi yer almıyor.