1.3 Milyon Android Cihazı Botnet Ağına Dönüştürüldü

Google, Çin merkezli Videostrong Technology'nin 1,3 milyondan fazla Android cihazını gizlice botnet ağına dönüştürdüğünü açıkladı. Ekim sonunda gerçekleştirilen operasyonla zararlı yazılımın kontrol sunucuları devre dışı bırakılırken, Google üreticiyle ilişkisini kesti ve şirketin sertifikalı Android cihaz üretmesini yasakladı.

Google'ın araştırmasına göre Videostrong, yıllar boyunca farklı marka ve modellerdeki cihazların yazılımına x.cpe adı verilen bir arka kapı yerleştirdi. Bu arka kapı, cihazların ilk açılışından sonra devreye girerek Google Play Protect'in uygulama kontrollerini devre dışı bırakabiliyor. Sistem uygulaması olarak çalışan ve sistem düzeyinde erişime sahip olan x.cpe, komuta ve kontrol (C2) sunucularından talimat alarak cihazlara kullanıcıların haberi olmadan uygulama yükleyebiliyor, komut çalıştırabiliyor, ekran görüntüsü alabiliyor ve cihazın bağlı olduğu ağı haritalandırabiliyor.

Google, Videostrong operatörlerinin bu yetenekleri kullanarak canlı ekran görüntüleri aldığını, tuş girişlerini kaydettiğini, hesap bilgilerini, cihaz verilerini, uygulama listelerini ve sistem günlüklerini kopyaladığını bildirdi. Videostrong'un arka kapı üzerinden suç ortaklarına erişim sattığı ve bu kişilerin cihazlara ek zararlı yazılım modülleri yüklediği belirtiliyor. Bu sayede cihazların konut interneti bağlantılarını kullanan proxy ağlarına dahil edildiği tespit edildi.

Botnet ağı ağırlıklı olarak Android TV set üstü kutularından oluşsa da tele sağlık cihazları, karaoke makineleri ve dijital ekranları da etkilendi. TrendAI'ın 3 Haziran-1 Ekim döneminde yaptığı incelemede 206 modelde toplam 1.472.554 enfekte cihaz tespit edildi. En fazla enfekte cihazın bulunduğu ülkeler Malezya, Brezilya, Irak, Meksika ve Tayvan olurken, Türkiye'de etkilenen 32 bin 532 cihaz bulunuyor ve Türkiye listede 11. sırada yer alıyor.

Google, yasal süreçleri kullanarak botnet ağını yöneten alan adlarını ve sunucuları devre dışı bıraktı. Ayrıca arka kapı üzerinden yüklenen bir düzineden fazla zararlı yazılım ailesinin kontrol alan adlarını da kapattı. Operasyona Japonya Ulusal Polis Ajansı, Lumen, HUMAN Security, Plume, Synthient ve TrendAI destek verdi. Google, söz konusu zararlı yazılım ailelerinin farklı dağıtım kanallarına da sahip olması nedeniyle müdahalenin en az 10 milyon ek enfekte cihaza erişimi kesebileceğini değerlendiriyor.

Ancak bu işlem, arka kapıyı cihazlardan kaldırmadı. x.cpe doğrudan cihazların yazılımına yerleştirildiği için yeniden başlatıldığında kendini tekrar yükleyebiliyor. Synthient, bağlantılı olduğu görülen 182 modelin listesini yayımladı ancak yalnızca model adının eşleşmesinin cihazın kesin olarak enfekte olduğu anlamına gelmediği konusunda uyarıyor. Araştırmacılar özellikle MECOOL markalı cihazlara dikkat çekiyor. MECOOL marka cihazlar Türkiye’de de yaygın olarak satılıyor. Uzmanlar bu cihazların en azından fabrika ayarlarına döndürülmesini öneriyor, ancak bu işlemin x.cpe arka kapısını kaldırıp kaldırmadığı kesin değil. TrendAI, zararlı yazılımın üreticinin anahtarıyla imzalanmış bir sistem uygulaması olarak çalıştığını ve temizliğin üretici müdahalesi, platform koruması veya cihazın değiştirilmesini gerektirdiğini belirtiyor. Synthient ise tüketicilere bu cihazları kullanmamalarını tavsiye ediyor.