GhostMap: açılmayan bir uygulama Android telefonu yeniden başlatma döngüsüne sokabiliyor

Güvenlik şirketi Bitdefender, 5 Kasım’da yayımladığı araştırmada, özel hazırlanmış bir Android uygulamasının (APK) yalnızca kurulmasıyla telefonun yeniden başlatma döngüsüne girebildiğini açıkladı. Bitdefender’a göre uygulamanın açılması, herhangi bir izin istemesi ya da kod içermesi gerekmiyor. Kurulumdan sonra Android’in temel sistem süreci çöküyor, yeniden başlıyor ve tekrar çöküyor. Telefonu yeniden başlatmak ya da güvenli modda açmak işe yaramıyor. Bitdefender sorunu GhostMap olarak adlandırdı.

Sorunun bulunuşu

Bitdefender’a göre araştırma 12 Ağustos 2026’da, sahadan toplanan bir APK’nın şirketin analiz altyapısındaki emülatörleri kurulum sırasında çökertmesiyle başladı. Örnek, bir paketleyiciyle (packer) sarılmış bir bankacılık zararlısı yükleyicisiydi (dropper) ve hiç çalışmadan kurulum sırasında çöktü. Bitdefender’a göre örnekte, yazarının dosyanın bir şeyi çökerteceğini bildiğini gösteren bir iz yok. Sorunun kaynağının zararlı değil Android’in kendisi olduğu anlaşıldı. Kalıcı yeniden başlatma döngüsünü Bitdefender kendi çalışmasıyla oluşturdu ve bunun kimseye karşı kullanıldığını görmediğini belirtiyor.

Hata

APK dosyaları aslında ZIP arşivi. Bitdefender’a göre Android, bir ZIP girdisindeki sıkıştırma yöntemi ve sıkıştırılmamış boyut alanlarını yanlış işliyor. Android’in iki kütüphanesi bu alanları farklı yorumluyor:

• libziparchive, girdinin bildirilen sıkıştırılmamış boyutunun dosyadaki gerçek alandan büyük olup olmadığını yalnızca sıkıştırılmamış (stored) girdiler için kontrol ediyor.
• libandroidfw ise girdiyi kaynak olarak yüklerken yalnızca sıkıştırılmış (deflated) girdileri ayrı işliyor ve geri kalan her şeyi sıkıştırılmamış sayıp bildirilen boyutla belleğe eşliyor.

Sıkıştırma yöntemi alanına bu iki değerden farklı bir değer yazılan bir girdi, iki kuralın arasındaki boşluğa düşüyor. Boyutu hiç kontrol edilmeden, dosyanın gerçek boyutundan çok daha büyük bir alan olarak belleğe eşleniyor. Dosyanın gerçek sonunun ötesi okunduğunda işlemci hata veriyor ve çekirdek, dosyayı okuyan süreci SIGBUS sinyaliyle sonlandırıyor. Bitdefender’ın Pixel 10’daki kaydına göre 8.408 baytlık bir dosya yaklaşık 16 MB’lık bir alan olarak eşlendi.

Yeniden başlatma döngüsü

Bitdefender’a göre hangi sürecin çöktüğü, uygulamanın içindeki hangi dosyanın bozulduğuna ve onu kimin okuduğuna bağlı. Uygulamanın bildirim dosyası (manifest) bozulursa yükleyici çöküyor ve kurulum başarısız oluyor. Bitdefender’ın incelediği örnek yalnızca bunu yapıyordu. Ancak Android’in temel sistem hizmetlerinin, kurulu uygulamaları tararken kurulumdan sonra okuduğu küçük kaynak dosyalarından biri bozulursa, Android’in büyük bölümünü barındıran system_server süreci çöküyor. Android hizmeti yeniden başlatıyor, hizmet kurulu uygulamaları yeniden tarıyor, aynı dosyayı okuyor ve yeniden çöküyor. Telefon hiç açılamıyor ve ekranda hangi uygulamanın sorumlu olduğunu gösteren bir şey yok.

Bitdefender’a göre güvenli mod da işe yaramıyor, çünkü hizmet dosyayı güvenli mod devreye girmeden okuyor. Telefon döngüdeyken bağlanan bir bilgisayar, ADB (Android Debug Bridge) ile dosyayı çöküşlerin arasında silebiliyor, ancak bunun için geliştirici seçeneklerinin ve USB hata ayıklamanın önceden açık olması gerekiyor. Bitdefender’a göre ilk tam yeniden başlatmadan sonra bu yol da çalışmıyor, çünkü çöküş açılış sırasında çok erken oluyor. Geriye fabrika ayarlarına sıfırlama kalıyor ve bu da telefondaki bütün verileri siliyor.

Bitdefender sorunu 5 Ağustos 2026 güvenlik yamalı Android 17 çalıştıran bir Pixel 10’da yeniden üretti. Bir kayıtta döngü 110 kez tekrarlandı, güvenli modda yapılan bir denemede 72 çöküş görüldü. Bitdefender’a göre Android 10 ve sonraki bütün sürümler etkileniyor.

Olası kötüye kullanım

Bitdefender, gerçek saldırılarda görmediğini vurguladığı şu senaryoları anlatıyor:

• Kurbanın telefonunu kullanılamaz hâle getirmek ve fabrika ayarlarına sıfırlama ile veri kaybı tehdidini şantaj için kullanmak.
• Çalışan bir zararlının kendi simgesini bozarak, uygulamayı kaldırmak için açılan başlatıcı, Ayarlar’daki uygulama listesi ve uygulama bilgisi ekranlarının çökmesini sağlamak ve böylece kaldırılamaz olmak.
• Dosyayı inceleyen güvenlik uygulamalarını, analiz ortamlarını ve otomatik tarama sistemlerini çökertmek.
• Bozuk dosyayı uygulamanın ilk incelemesinden sonra bir güncellemeyle eklemek.

Bitdefender’a göre hata kod çalıştırmaya, veri okumaya ya da verilmemiş bir izni almaya yol açmıyor ve bir hizmet dışı bırakma (denial of service) sorunu.

Google’ın yanıtı

Bitdefender sorunu Google’a Android ve Cihazlar Hata Ödül Programı üzerinden iki kez bildirdi. Bitdefender’a göre 20 Ağustos’taki ilk bildirim kısa süre sonra “Won’t Fix (Not Reproducible)” durumuyla kapatıldı ve programın kapsamı dışında görüldü. 25 Ağustos’ta kalıcı yeniden başlatma döngüsünü gösteren çalışan bir kavram kanıtıyla yapılan ikinci bildirime Google, sorunu bir güvenlik güncellemesi kapsamında görmediğini, ilgili ekibe olası bir sonraki sürüm için ilettiğini yanıtladı. Bitdefender, Google’ın 2016’da benzer ama daha zayıf bir hatayı (CVE-2016-6724) orta önemde bir güvenlik açığı olarak düzelttiğini hatırlatıyor.

Bitdefender’a göre yayın tarihi itibarıyla bir düzeltme yok ve kullanıcıların cihazda alabileceği önlemler sınırlı. Şirkete göre bozuk yapı dosyanın içinden, uygulama kurulmadan ve çalıştırılmadan görülebiliyor. Bitdefender kendi mobil güvenlik ürününün bu tür dosyaları Android.Riskware.Ghostmap.rA olarak tespit ettiğini, ancak Android’in güvenlik modelinin üçüncü taraf bir uygulamanın kurulumu engellemesine ya da başka bir uygulamayı kaldırmasına izin vermediğini belirtiyor.