Google, Android TV Kutularına Gizlenmiş X.CPE Botnet’ini Çökertti

Google, Android TV Kutularına Gizlenmiş X.CPE Botnet’ini Çökertti

Google, çeşitli siber güvenlik firmaları ve Japon kolluk kuvvetleriyle iş birliği yaparak, 200’den fazla ülkede 1,3 milyondan fazla set üstü kutuya gizlenmiş X.CPE adlı küresel bir botnet’i etkisiz hale getirdi. Google, bu kötü amaçlı yapının, Android orijinal ekipman üreticisi (OEM) olan Çinli Videostrong Technology şirketiyle bağlantılı olduğunu belirtti. Videostrong, çeşitli ekranlar, hoparlörler ve robotlar üreten bir firmaydı.

X.CPE botnet’indeki enfekte cihazların büyük çoğunluğunu Android TV set üstü kutuları oluşturuyordu. Ancak Google, tele-sağlık cihazları, karaoke makineleri ve dijital tabela cihazları gibi diğer Android tabanlı IoT cihazlarında da enfeksiyonlar gözlemlediğini ekledi.

Google ve diğer siber araştırmacılar, bu yapıyla ilgili kapsamlı raporlarında Videostrong’u, arka kapı erişimini suçlu iştirakçilere satarak ve bu iştirakçilerin kötü amaçlı yazılım modüllerini enfekte cihazlara yükleyerek para kazanmakla suçladı. Google, “Bu kötü amaçlı yazılımı, yıllar boyunca birçok farklı cihaz modelinde ve markasında doğrudan yerleşik olarak bulduk. Bu yapı, özel altyapı tarafından destekleniyor ve tespit edilmekten kaçınmak ve iştirakçilerini yönetmek için sürekli gelişen yapılandırmalara sahipti” açıklamasını yaptı. Şirket ayrıca, “Bu kampanyanın izole bir içeriden öğrenen veya bir geliştirme hatası olduğuna inanmıyoruz. Sonuç olarak Google, Videostrong ile bağlarını kopardı ve önceden yüklenmiş Google uygulamalarıyla cihaz üretmelerini yasakladı” dedi. Videostrong, yorum taleplerine yanıt vermedi. Şirket, 14 yılı aşkın süredir OEM olarak çalıştığını ve çeşitli yapay zeka destekli cihazlar sattığını belirtiyor.

Milyonlarca Hane Etkilendi

Google’a göre Videostrong, enfekte cihazları bir konut proxy ağına dönüştürüyor ve X.CPE tarafından ele geçirilen cihazlara başka türde kötü amaçlı yazılımlar yüklüyordu. Botnet, bant genişliğini yeniden satarak, veri sızdırarak, video içeriği sunarak, reklam sahtekarlığı yaparak, ek arka kapılar yükleyerek ve ödeme karşılığında uygulamalar yükleyerek cihazlardan gelir elde ediyordu. Bu yazılım, üçüncü taraf trafiğinin bir kişinin internet bağlantısı üzerinden geçmesine izin vererek, o kişinin internet adresini ve bant genişliğini kullanıyordu.

X.CPE, cihaz daha bir kişinin evine ulaşmadan önce cihazın ürün yazılımına gömülmüştü ve güvenlik kontrollerinden kaçacak şekilde tasarlanmıştı. Videostrong’un, kullanılan kötü amaçlı yazılımı değiştirmeye devam ettiği ve 2024 ile 2026 yıllarında güncellemeler yaptığı iddia edildi.

Google, botnet’i destekleyen alan adlarını bozmak için Japon polisi ile TrendAI, Human ve Synthient gibi siber güvenlik firmalarıyla iş birliği yaptı. TrendAI siber suç araştırmaları direktörü Robert McArdle, “Araştırmamız, bu kampanyadan 1,3 milyondan fazla cihazın etkilendiğini tespit etti. Bu, milyonlarca hane ve işletmenin, ekipmanlarının aktif suç faaliyetlerinde (reklamverenleri dolandırmak veya konut proxy’leri aracılığıyla diğer saldırıları gerçekleştirmek için bağlantılarını kullanmak gibi, bu da genellikle bölgelerindeki kişilerin kimlik hırsızlığını içerir) bir aksesuar olarak kullanıldığından tamamen habersiz olduğu anlamına geliyor” dedi.

Google’a göre Videostrong, güvenlik testlerini geçmek ve kötü amaçlı yazılımı cihazlara yüklemek için “gizleme teknikleri” kullandı. Google, gelecekte benzer kampanyalar yürüten üreticileri durdurmak için inceleme sürecini değiştireceğine söz verdi. Google, Videostrong’un botnet’i kontrol etmek ve kötü amaçlı yazılımı yüklemek için kullandığı alan adlarını kapatmak için yasal işlem başlattığını ve ayrıca cihazlara yüklenen diğer kötü amaçlı yazılım aileleri tarafından kullanılan alan adlarını yok etmek için dava açtığını belirtti.

Ancak siber güvenlik araştırmacılarına göre, bir kullanıcı kötü amaçlı yazılımı kaldırmaya çalışsa bile, otomatik olarak yeniden yüklenecekti. Arka kapı, kullanıcının izni olmadan diğer dosyaları cihaza sessizce indirebiliyor ve çalıştırabiliyordu. Google, enfekte cihazlara sahip müşterilerin bilgilendirilip bilgilendirilmeyeceğini veya ABD kolluk kuvvetlerinin diğer benzer botnet vakalarında yaptığı gibi, ele geçirilmiş cihazlardan kötü amaçlı yazılımı zorla kaldırma çabası olup olmadığını açıklamadı.

Kötü amaçlı yazılımın kaldırılmasıyla ilgili sorulara yanıt olarak, Google Tehdit İstihbarat Grubu’nun kesinti operasyonları başkanı Charley Snyder, Recorded Future News’e, eylemlerinin botnet’in iletişim kurduğu alan adlarını kestiğini ve “kötü amaçlı yazılımı etkili bir şekilde zararsız hale getirdiğini” söyledi. Google, Videostrong’un suçlu iştirakçilerinin komuta ve kontrol alan adlarının kapatılmasının, ek 10 milyon ele geçirilmiş cihaza (birçoğu Android cihazı olmayan) siber suçlu erişimini de kesmiş olabileceğini iddia etti.

Google, Videostrong ve gelecekteki tüm iştiraklerinin artık Android cihazları satmasının veya sertifikalı satıcılara yazılım tedarik etmesinin yasaklandığını belirtti. Google, “x.cpe ağı sürekli kar elde etmek için inşa edildi. Kötü amaçlı yazılım iştirakçilerine arka kapı erişimi sağlayarak, operatörler bu cihazları satın alındıktan çok sonra ticarileştirmek için komplo kurdular” dedi. “En az 2024’ün sonlarından bu yana, Videostrong, önceden yüklenmiş kötü amaçlı yazılımını basit tek aşamalı düşürücülerden, dayanıklılık ve çok kiracılı ticarileştirme için tasarlanmış modüler, üç aşamalı bir mimariye dönüştürdü.”

Google gibi teknoloji şirketleri, müşterilerini hedef almak için kullanılan kötü amaçlı araçları veya hizmetleri kaldırmak için giderek daha fazla mahkeme kararlarına başvuruyor. Microsoft, bu yıl birden fazla kez mahkeme kararlarını kullanarak kimlik avı platformlarını, kötü amaçlı yapay zeka araçlarını ve siber suç hizmeti altyapısını yok etti.