Google, 1.3 Milyon Cihazlık Android Botnet'i Çökertti

Google, 1.3 milyon Android cihazdan oluşan bir botnet'i çökertti. Bu botnet, çoğunlukla TV set üstü kutularından oluşuyor ve Ekim ayı sonunda gerçekleştirilen bir operasyonla kontrolü kaybetti. Google, cihaz üreticisi Videostrong'un bu kutulara kasten arka kapı yerleştirdiğini ve suçlulara erişim sattığını belirtiyor.

Videostrong'un Rolü ve Arka Kapı Tehdidi

Videostrong, Çin'in Shenzhen şehrinde yer alan bir şirket olup, kendi markası altında ve diğer markalar için Android TV kutuları ve diğer cihazlar üretmektedir. Şirketin kutularında bulunan x.cpe isimli arka kapı, yıllar boyunca birçok modelde yer aldı. Google, bu durumun bir yanlış anlamadan veya kötü niyetli bir çalışandan kaynaklanmadığını düşünüyor.

Arka kapı, cihazların yazılımında sistem uygulaması olarak çalışıyor ve sistem düzeyinde erişime sahip. Bu, botnet'in komut ve kontrol sunucularına rapor vermesine ve talimatları beklemesine olanak tanıyor. Google, bu arka kapı sayesinde botnet operatörlerinin cihazlara gizlice uygulama yükleyebildiğini, komutlar çalıştırabildiğini ve ağ haritası çıkarabildiğini tespit etti.

Operasyonun Kapsamı ve Sonuçları

Google, botnet'in kontrol sunucularını etkisiz hale getirmek için yasal yollar kullandı. Ayrıca, arka kapı aracılığıyla yüklenen çeşitli kötü amaçlı yazılımların kontrol alanlarını da kapattı. Bu operasyonun, suçluların erişimini en az 10 milyon daha enfekte olmuş cihaza kesmesini bekliyor.

Google, Videostrong'un operatörlerinin bazı yetkilerini kullandığını ve canlı ekran görüntüleri aldıklarını, tuş vuruşlarını kaydettiklerini ve cihaz bilgilerini kopyaladıklarını bildirdi. Suçlular, bu kutuları konut proxy'leri olarak kullanarak, ev interneti bağlantısını satarak veya çevrimiçi reklamların görüntülenmesini sahte bir şekilde artırarak gelir elde ediyordu.

Kullanıcıların Alması Gereken Önlemler

Videostrong'un ürettiği cihazlarda bulunan arka kapı, cihaz yeniden başlatıldığında kendini tekrar yüklediği için kullanıcıların bu durumu düzeltmesi zor. Plume, kullanıcıların cihazlarını tamamen fabrika ayarlarına döndürmesini öneriyor, ancak bu işlemin arka kapıyı tamamen kaldırıp kaldırmadığı belirsiz. Synthient, kullanıcıların bu cihazları atmalarını öneriyor çünkü yüksek malware riski taşıyorlar.

Kurumlar için Synthient, şunları öneriyor:

• Ağa bağlı MECOOL veya benzeri cihazları bulmak için yayınladığı göstergeleri kullanın.
• Bulunan cihazları ayırın ve atın.
• Raporunda belirtilen kontrol alanlarını ve IP adreslerini engelleyin.
• Diğer akıllı cihazları hassas sistemlerden uzak ayrı ağ segmentlerinde tutun.

Sonuç

Google, cihaz üreticilerinin belirli uyumluluk ve güvenlik testlerinden geçmesini zorunlu kılıyor. Videostrong'un, bu testleri geçmek için kodunu gizlediği ve kötü amaçlı yazılımı cihazların ilk açılışında yüklediği belirtiliyor. Google, sertifikalı Android TV cihazlarının yazılımını kontrol etme süreçlerini de geliştirdi. Bu olay, hem kullanıcılar hem de kurumlar için siber güvenlik açısından önemli bir uyarı niteliği taşıyor.