Google, 1,3 milyon TV kutusundan oluşan XCPE botnet'ini çökertti ve üreticiyi yasakladı

Google, iş ortaklarıyla birlikte 1,3 milyondan fazla Android TV kutusunu (set-top box) bir botnet’e bağlayan XCPE arka kapısını geçen hafta dağıttığını açıkladı. Google Tehdit İstihbaratı Grubu’nun (GTIG) raporuna göre şirket, arka kapının ve botnet’in Android cihaz üreticisi Videostrong Technology tarafından maddi kazanç için bilerek geliştirildiği, dağıtıldığı ve işletildiği değerlendirmesini yüksek güvenle yapıyor.

Google’a göre Videostrong, arka kapı üzerinden cihazlara erişimi suçlu iş ortaklarına sattı ve onların zararlı modüllerini cihazlara yükledi. Bu modüller reklam sahtekârlığı yapıyor, cihazları kullanıcının haberi olmadan konut tipi proxy (residential proxy) ağlarına katıyor ve cihazlara başka zararlı yazılımlar yüklüyordu.

Arka kapının çalışma şekli

GTIG’e göre bazı sürümlerde x.cpe, bazılarında com.oemservice adını taşıyan arka kapı, cihaz yazılımına önceden yüklenmiş geliyor ve Android’in sistem yetkisiyle çalışıyor. Kullanıcı kaldırsa bile cihaz yeniden başlatıldığında yazılımın OEM bölümünden kendini yeniden kuruyor. Arka kapı ilk açılışta anyevonline[.]com alan adındaki bir sunucudan ayarlarını alıyor, ardından mqtt.szbboys[.]com adresindeki bir MQTT sunucusuna kalıcı olarak bağlanıp komut bekliyor.

GTIG’e göre bu bağlantıyla operatörler:

• Kullanıcıya haber vermeden uygulama kurabiliyor. Arka kapı bunun için Google Play Protect’in uygulama doğrulamasını kapatıyor.
• Sistem yetkisiyle kabuk komutları ve betikler çalıştırabiliyor.
• Tuş basışı gönderip sürekli ekran görüntüsü alabiliyor.
• Cihazın bulunduğu ağı keşfedebiliyor.

GTIG, komuta sunucusu verilerinde Videostrong operatörlerinin ekran görüntüsü aldığını, tuş basışı gönderdiğini, hesap ve cihaz bilgilerini, yüklü uygulama listelerini ve sistem kayıtlarını dışarı çıkardığını ve cihazlarda ters bağlantı (reverse shell) kurduğunu gördüğünü belirtiyor.

GTIG’e göre Videostrong, 2024’ün sonundan beri zararlı kodu ayrı bir yükleyiciye (com.abc.nexus) taşıdı ve arka kapının yalnızca komuta sunucusuyla haberleşmesini sağladı. Google bunun arka kapının fark edilmemesi için yapılmış olabileceğini düşünüyor. Google’a göre Videostrong, Android’in uyumluluk ve güvenlik testlerindeki bir boşluğu kullanarak zararlı kodu cihazın ilk açılışından sonra yükledi. Google bu yüzden inceleme sürecinde değişiklik yaptığını açıkladı.

Bulaşan cihazlar ve modüller

Google’a göre botnet dünyanın her yerine dağılmış durumda. Bulaşan cihazların büyük çoğunluğu Android TV kutuları, ancak uzaktan sağlık cihazları, karaoke makineleri ve dijital tabela cihazları gibi başka Android tabanlı nesnelerin interneti (IoT) cihazları da var.

GTIG’in raporunda cihazlara yüklenen modüller arasında Linkfog, Jaguar, AppSalt (Honeygain), IPWeb, GaGaNode, NetNut, Traffmonetizer ve EarnFM gibi konut tipi proxy ve bant genişliği paylaşım yazılımları, Spirit, Moyu, Bird ve Fission gibi başka arka kapılar ve HiddenView adlı bir reklam sahtekârlığı uygulaması sayılıyor. GTIG’e göre tek bir cihazda aynı işi yapan üç ayrı proxy yazılımı birden çalışabiliyordu.

Google’ın adımları

Google’a göre çalışmaya Japonya Ulusal Polis Ajansı ile güvenlik şirketleri Lumen, HUMAN Security, Plume, Synthient ve TrendAI katıldı. Google:

• Videostrong’un botnet’i yönetmek ve modül yüklemek için kullandığı alan adlarını ve sunucuları hukuki yollarla kapattırdı.
• Arka kapı üzerinden yüklenen bir düzineden fazla zararlı yazılım ailesinin komuta alan adlarını hukuki yollarla kapattırdı. Google’a göre bu modüller XCPE dışında başka yollarla da dağıtıldığı için bu adım en az 10 milyon cihazla daha bağlantıyı kesecek.
• Videostrong’u ve gelecekteki yan kuruluşlarını sertifikalı Android cihaz üretmekten ve satmaktan ya da sertifikalı üreticilere yazılım sağlamaktan men etti.
• Sertifikalı Android TV cihazlarının yazılım bütünlüğünü denetleme yöntemlerini geliştirdiğini açıkladı.

Kullanıcılar için öneriler

Google, kullanıcılara bağlı cihazları yalnızca bilinen üreticilerden almalarını ve Android TV sitesindeki iş ortakları listesine bakmalarını öneriyor. Google ayrıca “kullanılmayan bant genişliğini” ya da “internet bağlantısını paylaşmayı” karşılığında para teklif eden uygulamalara karşı dikkatli olunmasını, güvenilen uygulama mağazalarının kullanılmasını ve Google Play Protect gibi yerleşik korumaların açık tutulmasını istiyor.