Google, 1,3 Milyon Android TV Kutusunu Kapsayan Botneti Durdurdu

Google'ın açıklamasına göre Google ve sektör ortakları, 1,3 milyondan fazla set üstü kutu (televizyona bağlanan yayın ve uygulama kutusu) cihazını bir botnete (ele geçirilip uzaktan birlikte yönetilen cihaz ağı) katan XCPE arka kapısını devre dışı bıraktı; Google, arka kapı (cihaza gizli ve kalıcı uzaktan erişim sağlayan yazılım) yapısının Android OEM/ODM (başka markalar için cihaz tasarlayan ve üreten firma) üreticisi Videostrong Technology Co. tarafından maddi kazanç için kasıtlı olarak geliştirildiğini yüksek güvenle değerlendiriyor. Bu arka kapı cihazın firmware (cihazın fabrikadan gelen temel yazılımı) yazılımına gömülüydü ve kullanıcı tarafından kaldırılamıyordu.

Üretici erişimi suç ortaklarına sattı

Google'a göre Videostrong, sisteme yerleştirdiği arka kapı erişimini suç ortaklarına satarak ve bu taraflara ait zararlı modülleri cihazlara yükleyerek gelir elde etti. Yüklenen modüller reklam dolandırıcılığı faaliyetleri yürüttü, cihazları kullanıcıların bilgisi dışında residential proxy (ev internet bağlantılarını başkalarının trafiğini taşımak için kullanan vekil sunucu ağı) ağlarına kaydetti ve sistemlere ek zararlı yazılımlar indirdi. Google, bu modüllerin C2 (komuta-kontrol sunucusu) alan adlarını hedef alarak hukuki adımlar attı. Google, bu ortakların modüllerini XCPE dışında başka kanallarla da dağıttığını, bu nedenle komuta-kontrol alan adlarının kapatılmasının en az 10 milyon ek ele geçirilmiş cihaza erişimi keseceğini değerlendiriyor. Yürütülen operasyonda Japonya Ulusal Polis Ajansı, Lumen, HUMAN Security, Plume, Synthient ve TrendAI ile iş birliği sağlandı.

Arka kapı kullanıcı tarafından kaldırılamıyordu

Google'ın değerlendirmesine göre zararlı yazılım cihazların temel yazılımına doğrudan sistem yetkisiyle yerleştirilmişti. Bu yapı nedeniyle arka kapı kullanıcı tarafından kaldırılamıyor, geçici olarak silinse dahi cihaz yeniden başlatıldığında kendini tekrar yüklüyordu. Sistem aynı zamanda Google Play Protect güvenlik mekanizmasının uygulama doğrulama işlevini devre dışı bırakıyordu. Etkilenen donanımların büyük bölümünü Android TV set üstü kutusu modelleri oluştururken; tele-sağlık ekipmanları, karaoke setleri ve dijital bilgilendirme ekranlarında da benzer bulgular tespit edildi.

Google üreticiyi yasakladı, testlerini değiştirdi

Google, elde edilen bulguların ardından Videostrong ile olan tüm ticari ve teknik bağlarını kestiğini duyurdu. Alınan kararla birlikte Videostrong ve bağlı şirketlerin sertifikalı Android cihazı üretmesi, Google uygulamaları yüklü ürünler sunması ve sertifikalı üreticilere yazılım sağlaması yasaklandı. Google, üreticinin güvenlik ve uyumluluk testlerindeki bir boşluktan yararlanarak kodu ilk açılıştan sonra devreye aldığını tespit etti; şirket test süreçlerinde değişikliğe giderek sertifikalı Android TV cihazlarının yazılım bütünlüğü denetimlerini güncelledi.

Türkiye açısından

Google'ın açıklamasına göre botnet dünyanın birçok bölgesine yayılmış durumda, ancak Google ülke bazında sayı paylaşmadı; Türkiye'deki etkilenen cihaz sayısı bilinmiyor. Türkiye açısından Android tabanlı televizyon kutusu kullanan kullanıcıların cihazlarının sertifikalı olup olmadığını gözden geçirmesi önem taşıyor. Android cihazların kullanıcının bilgisi dışında vekil sunucu ağlarına katılması, SGH'nin daha önce aktardığı Android araç ünitelerindeki proxy botnet ve reklam dolandırıcılığı için yayılan Android araç zararlısı haberlerinde de görülmüştü.

Ne yapmalısınız

Google'ın tüketicilere önerileri ve genel cihaz güvenliği adımları şöyle:

• Set üstü kutu gibi internete bağlanan multimedya cihazlarını yalnızca tanınmış üreticilerden satın alın.
• Satın alacağınız veya kullandığınız cihazın Google Play Protect sertifikalı olup olmadığını kontrol edin ve yerleşik güvenlik özelliklerinin devrede olduğundan emin olun.
• İnternet bağlantısını veya kullanılmayan bant genişliğini paylaşma karşılığında gelir vadeden şüpheli uygulamalardan uzak durun.
• Uygulama indirme işlemlerini yalnızca güvenilir resmi mağazalar üzerinden gerçekleştirin.
• Cihazınıza yüklediğiniz üçüncü taraf VPN veya vekil sunucu uygulamalarının talep ettiği izinleri dikkatle inceleyin.

Kaynaklar

• Google Threat Intelligence Group — Shutting the Door on the XCPE Botnet

Kapak görseli (temsili): kumandayla televizyon menüsü — Shixart1985 / Wikimedia Commons, CC BY 2.0 (kırpıldı, küçültüldü).