Google'ın 1,3 milyondan fazla Android TV kutusunu etkileyen XCPE botnetini ortaya çıkarmasının ardından Türkiye'deki kullanıcıları da ilgilendiren yeni bir güvenlik aracı geliştirildi. Yazılım geliştiricisi Burak Öztürk tarafından hazırlanan açık kaynak XCPE Guard, cihazların fabrika yazılımlarına yerleştirilen gizli arka kapıyı tespit edip devre dışı bırakmayı amaçlıyor.
Synthient'in verilerine göre Türkiye'de 32.532 cihazın bu botnet ağına dahil olduğu tespit edildi. Bu sayı, Türkiye'yi etkilenen cihaz sayısında dünyada 11. sıraya yerleştiriyor. Üstelik risk yalnızca MECOOL markalı cihazlarla sınırlı olmayabilir. Çin merkezli Videostrong Technology, kendi markasının yanı sıra farklı üreticiler için de donanım ve yazılım sağlayan bir OEM/ODM şirketi. Bu nedenle şirketin üretim zincirinde yer alan ve Türkiye'de farklı markalar altında satılan Android TV kutuları da potansiyel risk taşıyor. Bazı kullanıcı raporlarına göre NEXT ve Hiremco marka TV kutuları da bundan etkilendi.
Android TV kutuları nasıl botnete dönüştürüldü?
Google'ın araştırmasına göre Videostrong Technology, farklı marka ve modellerdeki bazı cihazların fabrika yazılımlarına x.cpe adı verilen gizli bir arka kapı yerleştirdi. Sistem uygulaması olarak çalışan ve yüksek yetkilere sahip olan bu yazılım, cihaz ilk açıldığında devreye girerek kullanıcıların haberi olmadan zararlı faaliyetler yürütüyordu.
Google, botnetin kontrol sunucularını kapatarak saldırganların cihazlara erişimini kesmeye çalıştı. Ancak arka kapı cihazların firmware bölümünde kalmaya devam ediyor ve cihaz yeniden başlatıldığında tekrar yüklenebiliyor.
XCPE Guard arka kapıyı devre dışı bırakıyor
Öztürk'ün geliştirdiği XCPE Guard, Android TV kutusunun kendi hata ayıklama hizmetinden yararlanarak zararlı yazılımı tarıyor ve tespit ettiği bileşenleri devre dışı bırakıyor. Bilgisayar veya root erişimi gerektirmeyen uygulama, kullanıcıya adım adım rehberlik ederek gerekli izinleri alıyor.
Uygulama, Google'ın yayımladığı tehdit göstergelerini kullanarak x.cpe, com.oemservice ve com.abc.nexus dahil zararlı paketleri kontrol ediyor. Bunun yanında şüpheli üretici uygulamalarını, sistem bölümlerindeki bilinen zararlı dosyaların parmak izlerini, erişilebilirlik hizmetlerini, çalışan süreçleri ve botnet sunucularına yönelik ağ bağlantılarını da inceliyor.
Tespit edilen zararlı uygulamalar devre dışı bırakılıyor. XCPE Guard ayrıca zararlı yazılımın erişilebilirlik bağlantısını kaldırıyor ve Google Play Protect'i yeniden etkinleştiriyor.
Uygulamanın kurulumu için öncelikle XCPE Guard'ın GitHub sayfasından APK dosyasının indirilmesi gerekiyor. Dosya, Android TV kutusuna Downloader gibi bir uygulamayla veya bilgisayar üzerinden ADB komutuyla yüklenebiliyor.
Kurulumun ardından uygulamanın çalışabilmesi için Android TV kutusunda bazı ayarların yapılması gerekiyor. Öncelikle Android ayarlarından geliştirici seçeneklerini etkinleştirmek, ardından ADB hata ayıklama özelliğini açarak bağlantı izni vermek gerekiyor. Android 11 ve üzeri cihazlarda kablosuz hata ayıklama ve eşleme kodu kullanılabiliyor. Bazı cihazlarda ise ağ üzerinden ADB bağlantısı kurulabiliyor.
İlk bağlantıdan sonra uygulama gerekli izinleri alarak tarama yapıyor. İşlem sırasında hata ayıklama servisini geçici olarak açıyor ve tarama tamamlandığında yeniden kapatıyor. Uygulama ayrıca günlük otomatik tarama yaparak devre dışı bırakılan zararlı paketlerin yeniden etkinleştirilip etkinleştirilmediğini kontrol edebiliyor.
Uygulama, zararlı yazılımı devre dışı bıraksa da cihazın sistem dosyaları arasında bulunan yedek kopyasını silemiyor. Bu nedenle cihaz yeniden başlatıldığında zararlı yazılım tekrar yüklenebilir. Sorunun tamamen çözülmesi için üreticinin temiz bir yazılım güncellemesi yayımlaması gerekiyor. Böyle bir güncelleme sunulmazsa cihazın değiştirilmesi gerekebilir.
Ayrıca ek bir güvenlik önlemi olarak zararlı sunucuların engellenmesi öneriliyor. Bunun için Google'ın belirlediği zararlı sunucu adresleri AdGuard Home gibi ağ filtreleme araçlarına eklenebiliyor. Böylece Android TV kutusunun bu sunucularla bağlantı kurması engellenebiliyor.
XCPE Guard'ı GitHub üzerinden inceleyebilir ve indirebilirsiniz.
