Google, XCPE botnetinin altyapısını kapattı
Google, Android TV kutuları başta olmak üzere 1,3 milyondan fazla Android tabanlı cihazda bulunan XCPE adlı arka kapının komuta-kontrol altyapısına yönelik operasyon yürüttü. Şirket, Çin’in Shenzhen kentindeki Videostrong Technology’nin arka kapıyı mali kazanç amacıyla kasıtlı olarak geliştirdiği, cihazlara yerleştirdiği ve işlettiği sonucuna yüksek güvenle ulaştığını açıkladı.
Operasyon, ekim ayının son haftasında botneti yöneten alan adları ve sunuculara karşı hukuki tedbirlerle gerçekleştirildi. Google ayrıca XCPE üzerinden yüklenen bir düzineden fazla zararlı yazılım ailesinin kontrol alan adlarını da hedef aldı. Şirket, ek müdahalenin zararlı yazılımları farklı yollarla alan en az 10 milyon ek enfekte cihazla bağlantıyı kesebileceğini öngörüyor.
Videostrong, sertifikalı Android cihaz üretmek veya satmak ile diğer sertifikalı üreticilere yazılım sağlamak için yasaklandı. Yasak, gelecekte kurulabilecek bağlı şirketleri ve iştirakleri de kapsıyor.
Arka kapı cihazlara hangi yetkileri veriyordu?
XCPE, cihaz ürün yazılımına sistem uygulaması olarak yerleştirildi. Sistem düzeyindeki yetkiler, arka kapının uzaktan komut almasına ve kullanıcı bilgisi dışında ek yazılım yüklemesine imkân tanıdı. Arka kapının bazı sürümlerinde x.cpe veya com.oemservice adı görüldü.
İncelemelerde, zararlı kodun Google Play Protect uygulama kontrollerini devre dışı bırakabildiği belirlendi. Operatörler daha sonra cihazlara sessizce uygulama yükleyebildi, komut çalıştırabildi, ekran görüntüsü alabildi, tuş vuruşları gönderebildi ve cihazın bağlı olduğu ağı tarayabildi.
Yetkisiz erişimle hesap bilgileri, cihaz ayrıntıları, uygulama listeleri ve sistem günlüklerinin alınabildiği bildirildi. Uzaktan komut satırı erişimi sağlayan ters kabuk bağlantılarının da açıldığı aktarıldı. Zararlı modüllerin büyük bölümü, ev internet bağlantılarını konut tipi vekil ağ düğümüne dönüştürdü veya çevrim içi reklamlarda sahte görüntüleme üretti.
Etkilenen cihazlar ve ölçümlerdeki fark nedir?
Etkilenen ürünlerin çoğunu Android TV alıcıları ve yayın kutuları oluşturdu. Arka kapıya uzaktan sağlık cihazları, karaoke makineleri ve dijital tabela sistemlerinde de rastlandı. İnceleme kuruluşlarından birinin 3 Haziran ile 1 Ekim arasındaki taramasında 206 modelde 1.472.554 enfekte cihaz saptandı; toplamın daha yüksek olabileceği belirtildi.
Google ise operasyon açıklamasında 1,3 milyondan fazla cihazdan söz etti. Sayılardaki fark, ölçüm dönemleri, erişilebilen cihaz kümeleri ve kullanılan tespit yöntemlerinden kaynaklanıyor olabilir. Her iki tespit de zararlı faaliyetin tek bir ürünle sınırlı kalmadığını gösteriyor.
En yüksek cihaz yoğunluğu Malezya, Brezilya, Irak, Meksika ve Tayvan’da görüldü. ABD, Almanya, Birleşik Krallık, Avustralya ve Kanada’da da on binlerce cihazın etkilendiği bildirildi. MECOOL markalı bazı modellerin Videostrong ile bağlantısı araştırmalarda öne çıktı; ancak yalnızca model adına bakmak, her cihazın kesin olarak enfekte olduğu anlamına gelmiyor.
Ürün yazılımındaki zararlı kod neden risk taşıyor?
XCPE’nin ürün yazılımına gömülü olması, sıradan uygulama kaldırma işlemlerini yetersiz bırakıyor. Arka kapının korunan bölümden cihaz yeniden başlatıldığında tekrar yüklenebildiği bildirildi. Fabrika ayarlarına döndürme işlemi, sonradan yüklenmiş bazı modülleri temizleyebilse de XCPE’nin tamamen silineceğine ilişkin güvence vermiyor.
Google, Videostrong’un sertifikasyon kontrollerindeki bir boşluktan yararlanmak için kod gizleme yöntemleri kullandığını ve zararlı bileşenleri cihaz ilk kez açıldıktan sonra etkinleştirdiğini açıkladı. Şirket, sertifikalı Android TV ürün yazılımlarına yönelik inceleme ve bütünlük kontrollerini sıkılaştırdığını duyurdu.
Olay, sertifikalı cihazların da tedarik zinciri kaynaklı risk taşıyabileceğini ortaya koydu. Sertifikasyon, cihazın satış anındaki belirli uyumluluk koşullarını karşılamasını hedefliyor; üretici düzeyinde gizlenen ve sonradan etkinleşen zararlı bileşenler ayrı bir denetim gerektiriyor.
Cihaz sahipleri ve kurumlar ne yapmalı?
Şüpheli Android TV kutusu kullanan kişilerin cihazı internetten ayırması, üreticinin güvenilir ve güncel bir temiz ürün yazılımı sunup sunmadığını kontrol etmesi gerekiyor. Güvenilir temiz yazılım sağlanamıyorsa cihazın değiştirilmesi daha güvenli seçenek olarak görülüyor. Kullanıcıların Play Protect’i açık tutması ve kullanılmayan internet bant genişliğini paylaşma vaadi sunan uygulamalardan kaçınması öneriliyor.
Kurumların ağlarında yönetilmeyen Android TV kutuları, dijital tabela cihazları ve benzer nesnelerin interneti ürünlerini taraması önem taşıyor. Şüpheli cihazların hassas kurumsal sistemlerden ayrı bir ağ bölümüne alınması, bildirilen komuta-kontrol alan adları ve IP adreslerinin engellenmesi, ek erişim riskini azaltabilir.
Botnet sunucularının kapatılması, cihazlardaki yerleşik arka kapının otomatik olarak silindiği anlamına gelmiyor. Cihaz sahiplerinin üretici ve platform sağlayıcısından gelecek doğrulanmış güvenlik duyurularını izlemesi gerekiyor.
Sıkça Sorulanlar
Google’ın kapattığı Android botneti nedir?
Google, XCPE adlı arka kapı üzerinden yönetilen botnetin komuta-kontrol altyapısını kapattı. Botnetin 1,3 milyondan fazla Android tabanlı cihazı etkilediği bildirildi.
XCPE arka kapısı hangi cihazlarda bulundu?
XCPE ağırlıklı olarak Android TV kutularında bulundu. Uzaktan sağlık cihazları, karaoke makineleri ve dijital tabela sistemleri de etkilenen ürünler arasında yer aldı.
Videostrong hakkında hangi işlem yapıldı?
Google, Videostrong’un sertifikalı Android cihaz üretmesini, satmasını ve sertifikalı üreticilere yazılım sağlamasını yasakladı. Yasak, bağlı şirketleri ve gelecekteki iştirakleri de kapsıyor.
Fabrika ayarlarına döndürmek XCPE arka kapısını temizler mi?
Fabrika ayarlarına döndürme işlemi sonradan eklenen bazı zararlı modülleri kaldırabilir, ancak ürün yazılımına gömülü XCPE arka kapısının tamamen silineceği garanti edilmiyor. Arka kapının yeniden başlatma sonrasında korunan bölümden tekrar yüklenebildiği bildirildi.
Android TV kutusu sahipleri ne yapmalı?
Şüpheli cihaz sahipleri ürünü internetten ayırmalı ve güvenilir bir temiz ürün yazılımı olup olmadığını üreticiden doğrulamalıdır. Güvenilir güncelleme yoksa cihazın değiştirilmesi daha güvenli seçenek olarak öneriliyor.