Google, 1,3 milyon cihazlık Android botnetini çökertti ve arkasındaki TV kutusu üreticisini yasakladı

Google, tüketici cihazlarının firmware'ine kasıtlı olarak yerleştirildiğini söylediği bir arka kapı üzerinde çalışan geniş çaplı bir Android botnetini çökertti ve sorumlu tuttuğu üreticiyi sertifikalı Android ekosisteminden yasakladı. The Hacker News'in aktardığına göre Google, operasyonu Shenzhen merkezli cihaz üreticisi Videostrong'a kadar izledikten sonra, blogunda XCPE botneti olarak adlandırdığı yapının komuta-kontrol altyapısını çökertti.

Neler oldu?

The Hacker News, Google'ın botneti kontrol eden alan adlarına ve sunuculara el koymak için hukuki yollara başvurduğunu ve Japonya Ulusal Polis Teşkilatı, Lumen, HUMAN Security, Plume, Synthient ile Trend Micro'nun TrendAI birimi dahil ortaklarla çalıştığını bildiriyor. Google ayrıca Videostrong'u, gelecekteki iştirakleri ve bağlı kuruluşlarıyla birlikte, sertifikalı Android cihazları üretmekten veya satmaktan ve sertifikalı cihaz üreticilerine yazılım sağlamaktan yasakladı.

Teknik detaylar

The Hacker News'e göre x.cpe adı verilen arka kapı, cihaz firmware'i içinde sistem düzeyinde erişime sahip bir sistem uygulaması olarak çalışıyor. Komuta-kontrol sunucularına bağlanıp talimat bekliyor ve yazılımı sessizce kurmak için önce Google Play Protect'in uygulama tarama denetimlerini devre dışı bırakıyor. Google, operatörlerin uygulama kurabildiğini, komut çalıştırabildiğini, ekran görüntüsü alabildiğini, tuş vuruşlarını kaydedebildiğini, hesap ve cihaz bilgilerini kopyalayabildiğini, ters kabuk açabildiğini ve yerel ağların haritasını çıkarabildiğini söylüyor. Şirkete göre ek modüllerin çoğu kutuları konut proxy'lerine dönüştürdü veya bant genişliklerini sattı; diğerleri sahte reklam görüntülemeleri üretti.

Kimler etkileniyor?

The Hacker News, Trend Micro'nun TrendAI birimine dayanarak araştırmacıların 3 Haziran ile 1 Ekim arasında 206 modelde 1.472.554 virüslü cihaz saydığını ve gerçek rakamın muhtemelen daha yüksek olduğunu aktarıyor. Google, operatörlerin zararlıyı başka yollarla da yaydığı için müdahalenin en az 10 milyon virüslü cihazın daha erişimini keseceğini öngörüyor. Cihazların çoğu Android TV kutusuydu, ancak arka kapı teletıp cihazlarında, karaoke makinelerinde ve dijital tabelalarda da görüldü. En çok etkilenen ülkeler Malezya, Brezilya, Irak, Meksika ve Tayvan oldu.

Google, bir içeriden kişiyi veya bir hatayı suçlamak yerine, Videostrong'un arka kapıyı kasıtlı olarak ürettiğinden ve erişimi suçlulara sattığından yüksek güvenle emin olduğunu söylüyor. The Hacker News, araştırmacıların öne sürdüğü destekleyici kanıtlar arasında botnet paketlerini barındıran "yf-videostrong" adlı bir GitHub hesabının ve bir botnet sunucusunda bulunan, Videostrong'un bir araştırma direktörü tarafından imzalanmış bir belgenin yer aldığını bildiriyor. Rapora göre şirketin web sitesi 2 Kasım'da hâlâ "Google Sertifikalı" TV kutuları listeliyordu.

Ne yapmalı?

The Hacker News, x.cpe'nin kaldırılmasının kalıcı olmadığını, çünkü yeniden başlatmada tekrar kurulduğunu aktarıyor; TrendAI temizliğin üretici müdahalesi, platform düzeyinde koruma veya cihaz değişimi gerektirdiğini söylüyor, Synthient ise etkilenen kutuların doğrudan atılmasını öneriyor. Synthient, kampanyaya bağlı 182 cihaz modeli adı yayımladı; ancak yalnızca bir model adı enfeksiyonu doğrulamaz. Kuruluşlar için araştırmacılar, yayımlanan göstergeleri kullanarak ağdaki bu tür cihazları bulmayı, bulunanları ağdan çıkarıp elden çıkarmayı, listelenen kontrol alan adlarını engellemeyi ve tüketici akıllı cihazlarını hassas sistemlerden ayrı ağlara koymayı öneriyor.