Google, Çin merkezli Videostrong Technology'nin 1,3 milyondan fazla Android cihazı gizlice botnet ağına dönüştürdüğünü açıkladı. Ekim sonunda gerçekleştirilen operasyonla zararlı yazılımın kontrol sunucuları devre dışı bırakılırken Google, üreticiyle ilişkisini kesti ve şirketin sertifikalı Android cihaz üretmesini yasakladı.
Android TV kutularına gizli arka kapı yerleştirildi
Google'ın araştırmasına göre Videostrong, yıllar boyunca farklı marka ve modellerdeki cihazların yazılımına x.cpe adı verilen bir arka kapı yerleştirdi. Google’a göre şirket, zararlı yazılımı finansal kazanç amacıyla kasıtlı olarak geliştirildi ve dağıttı.
Arka kapı, cihazların ilk açılışından sonra devreye girerek Google Play Protect'in uygulama kontrollerini devre dışı bırakabiliyor. Sistem uygulaması olarak çalışan ve sistem düzeyinde erişime sahip olan x.cpe, komuta ve kontrol (C2) sunucularından talimat alarak cihazlara kullanıcıların haberi olmadan uygulama yükleyebiliyor, komut çalıştırabiliyor, ekran görüntüsü alabiliyor ve cihazın bağlı olduğu ağı haritalandırabiliyor.
Google, Videostrong operatörlerinin bu yetenekleri kullanarak canlı ekran görüntüleri aldığını, tuş girişlerini kaydettiğini, hesap bilgilerini, cihaz verilerini, uygulama listelerini ve sistem günlüklerini kopyaladığını bildirdi.
Videostrong'un arka kapı üzerinden suç ortaklarına erişim sattığı ve bu kişilerin cihazlara ek zararlı yazılım modülleri yüklediği belirtiliyor. Bu sayede cihazların konut interneti bağlantılarını kullanan proxy ağlarına dahil edildiği tespit edildi.
Türkiye’de on binlerce cihaz var
TrendAI'ın 3 Haziran-1 Ekim döneminde yaptığı incelemede 206 modelde toplam 1.472.554 enfekte cihaz tespit edildi. Kuruluş, gerçek sayının daha yüksek olabileceğini belirtiyor. En fazla enfekte cihazın bulunduğu ülkeler Malezya, Brezilya, Irak, Meksika ve Tayvan oldu. Türkiye’de ise etkilenen 32 bin 532 cihaz bulunuyor. Türkiye listede 11. sırada.
Google kontrol sunucularını kapattı
Google, yasal süreçleri kullanarak botnet ağını yöneten alan adlarını ve sunucuları devre dışı bıraktı. Ayrıca arka kapı üzerinden yüklenen bir düzineden fazla zararlı yazılım ailesinin kontrol alan adlarını da kapattı.
Operasyona Japonya Ulusal Polis Ajansı, Lumen, HUMAN Security, Plume, Synthient ve TrendAI destek verdi. Google, söz konusu zararlı yazılım ailelerinin farklı dağıtım kanallarına da sahip olması nedeniyle müdahalenin en az 10 milyon ek enfekte cihaza erişimi kesebileceğini değerlendiriyor.
Ancak bu işlem, arka kapıyı cihazlardan kaldırmadı. x.cpe doğrudan cihazların yazılımına yerleştirildiği için yeniden başlatıldığında kendini tekrar yükleyebiliyor.
Cihaz sahipleri ne yapmalı?
Synthient, bağlantılı olduğu görülen 182 modelin listesini yayımladı. Ancak kuruluş, yalnızca model adının eşleşmesinin cihazın kesin olarak enfekte olduğu anlamına gelmediği konusunda uyarıyor. Araştırmacılar özellikle MECOOL markalı cihazlara dikkat çekiyor. MECOOL marka cihazlar Türkiye’de de yaygın olarak satılıyor.
Uzmanlar bu cihazların en azından fabrika ayarlarına döndürülmesini öneriyor. Ancak bu işlemin x.cpe arka kapısını kaldırıp kaldırmadığı kesin değil. TrendAI, zararlı yazılımın üreticinin anahtarıyla imzalanmış bir sistem uygulaması olarak çalıştığını ve temizliğin üretici müdahalesi, platform koruması veya cihazın değiştirilmesini gerektirdiğini belirtiyor. Synthient ise tüketicilere bu cihazları kullanmamalarını tavsiye ediyor.
