Google 1,3 milyon cihazlık Android botnetini çökertti: Videostrong sertifikasını kaybetti
Google, TrendAI'nin 3 Haziran ile 1 Ekim 2026 arasında 1.472.554 cihazda saydığı, Android yazılımına önceden gömülü x.cpe arka kapısının arkasındaki komuta-kontrol altyapısını devre dışı bırakmak için hukuki adım attı. Sayı 206 modeli kapsıyor; çoğu Android TV medya kutusu ve Google bunu bir tavan değil taban olarak niteliyor. Şirket kendi raporunda, botnetin iştirak sunucularının kapatılmasının en az 10 milyon başka ele geçirilmiş cihaza erişimi de kesmesi gerektiğini söylüyor, çünkü aynı suç grupları kötü amaçlı yazılımı başka kanallardan da yayıyor.
Arka kapı neler yapabiliyordu
com.oemservice olarak da izlenen x.cpe, android.uid.system yetkileriyle sistem uygulaması olarak çalışıyor. Sonradan kurulmuyor, yazılım imajının içine gömülü; bu yüzden fabrika ayarlarına dönmek onu kaldırmıyor: paket yeniden başlatmada /oem/ bölümünden geri yükleniyor. Google'ın tehdit istihbaratı ekibine göre implant, package_verifier_user_consent değerini -1 yaparak Play Protect uygulama doğrulamasını devre dışı bırakıyor ve ardından operatörlerine kalıcı bir MQTT kanalı açıyor. The Hacker News tarafından özetlenen TrendAI analizi, bir HTTP önyükleme isteğinin cihaza komut sunucusunu verdiği iki aşamalı bir yapı tarif ediyor.- Uygulamaların sessizce kurulması ve kaldırılması
- Ters kabuklar dahil rastgele kabuk komutu çalıştırma
- Ekran görüntüsü alma ve tuş vuruşu enjekte etme
- Hesap bilgileri, kurulu uygulama listeleri ve sistem günlüklerinin toplanması
- Yerel alt ağda keşif
- Yeniden başlatma sonrası yazılım bölümünden yeniden kurulum
Ürün yerleşik proxy'lerdi
Para kazanma modüllerinin çoğu enfekte donanımı yerleşik proxy çıkış düğümüne çeviriyor ya da boş bant genişliği satıyordu. Google'ın raporu Linkfog, Jaguar, AppSalt, BWM, GaGaNode, NetNut ve Traffmonetizer gibi proxy SDK'larını sayıyor ve tek bir cihazın aynı anda üç tanesini çalıştırabildiğini belirtiyor. Spirit, Moyu, Bird, Fission ve HiddenView olarak izlenen diğer modüller sahte reklam gösterimleri üretiyordu. Yerleşik proxy ağı, ancak çıkış IP'lerinin çeşitliliği ve itibarı kadar değerlidir; evlerdeki tüketici cihazları tam olarak bunu sağlar: veri merkezi aralıkları gibi değil, sıradan geniş bant aboneleri gibi görünen adresler. Bu kapasiteyi satın alanlar, aksi halde engellenecek kazıma, credential stuffing ve dolandırıcılık trafiğini oradan geçirir. Çıkış düğümü birinin salonundaki televizyon kutusuysa, trafik o hanenin bağlantısına yazılır.Kullanıcılarını kasten kötü amaçlı yazılımla enfekte eden bir cihaz üreticisi, güveni kabul edilemez biçimde ihlal eder ve bu kişiler için ciddi bir risk oluşturur. - GoogleAğ kimliğini operasyonel bir mesele olarak görenler için ders şu: ele geçirilmiş bir cihaz, hattınıza sizin üretmediğiniz trafik koyabilir. Aynı mantık Tor'a eriştiğiniz veya hassas bir şeyi yönettiğiniz donanım için de geçerli; genel kontrol listesi Tor öncesi cihaz güvenliği rehberimizde.
Atıf: imzalı bir belge ve paylaşılan bir IP
Google, Shenzhen merkezli Videostrong Technology'nin arka kapıyı bilerek geliştirdiği, dağıttığı ve işlettiği, erişimi suçlu iştiraklere sattığı konusunda yüksek güvene sahip olduğunu söylüyor. Kanıtlar arasında Videostrong'un Ar-Ge direktörü tarafından imzalanmış ve bir botnet sunucusunda bulunmuş bir belge, operatörlerin kontrol paneliyle aynı IP'ye çözülen bir Videostrong alan adı, sürümleri barındırmak için kullanılan yf-videostrong adlı bir GitHub hesabı ve x.cpe'nin komut sunucusu ayarlarını YokaTV Player gibi diğer Videostrong uygulamalarına aktarması var. Google'dan Charley Snyder, CyberScoop'a operatörlerin yayın öncesi ve sonrası tespitten kaçmak için yapılandırmaları sürekli değiştirdiğini söyledi. Operasyonun ortaklarından Synthient bağımsız olarak aynı sonuca vardı. Şirket perakendede bir MECOOL KM9PRO Max satın aldı ve arka kapının önceden kurulu olduğunu gördü; ardından kampanyada görülen 182 cihaz modeli adının listesini yayımladı ve tek başına model adının belirli bir birimin enfekte olduğunu kanıtlamadığı uyarısını ekledi. Yönlendirici ve cihaz yönetimi yazılımı sağlayan Plume, botnetin kontrol sunucusuyla konuşan bir düzineden fazla cihaz türü buldu; çoğu MECOOL markalıydı.Operasyon ve geride bıraktıkları
Japonya Ulusal Polis Teşkilatı ile yürütülen ve Lumen, HUMAN Security, Plume, Synthient ile TrendAI tarafından desteklenen müdahale, Videostrong'un kontrol alan adlarını ve sunucularını, ayrıca arka kapı üzerinden yüklenen bir düzineden fazla kötü amaçlı yazılım ailesinin komuta-kontrol alan adlarını kapattı. Google ayrıca Videostrong'u ve gelecekteki bağlı şirketlerini sertifikalı Android cihaz üretmek veya satmaktan, başka sertifikalı üreticilere yazılım sağlamaktan men etti. The Register, şirketin tedarikçiyle bağlarını kestiğini aktarıyor; Videostrong yorum taleplerine yanıt vermedi. Google, sertifikalı Android TV cihazları için yazılım bütünlüğü doğrulamasını sıkılaştırdığını ve inceleme sürecini değiştirdiğini söylüyor, ancak yapısal sorun sürüyor. Sertifikasyon cihazı sevkiyattan önce test eder; kötü amaçlı kod ilk açılıştan sonra yüklendi, yani tam olarak bu testlerin kapsamadığı pencerede. Sahada olan cihazlar yazılım değiştirilene kadar implantı taşır ve TrendAI'ye göre düzeltme için üretici müdahalesi, platform koruması veya cihazın değiştirilmesi gerekiyor.Sahipler ve alıcılar için pratik adımlar
- Synthient'in yayımladığı listedeki her modeli yüksek riskli sayın; güvenilen ağlardan ayırın veya değiştirin.
- Belgelenen önyükleme ve MQTT alan adlarını yönlendiricide veya DNS çözümleyicide engelleyin.
- Akıllı TV'leri, kutuları ve ev aletlerini yönetim arayüzlerine rotası olmayan ayrı bir VLAN veya misafir ağına alın.
- Kullanılmayan bant genişliği veya internetinizi paylaşma karşılığı ödeme yapan uygulamalara kuşkuyla bakın; Google sessiz ve onaysız kaydı proxy ağlarına en yaygın giriş yolu olarak gösteriyor.
- Play Protect'i açık tutun ve Android TV sertifikalı ortaklar listesindeki üreticilerin cihazlarını tercih edin.