Google’dan Android TV Operasyonu: 10 Milyon Ek Cihazın Bağlantısı Kesildi

Google, üretim aşamasında zararlı yazılım yüklendiği belirtilen 1,3 milyondan fazla Android TV cihazını kapsayan XCPE botnetine yönelik uluslararası bir operasyon gerçekleştirdi. Şirket, Çin merkezli Videostrong Technology Co. firmasını cihazlara kalıcı arka kapı yerleştirmekle ve siber suçlulara erişim sağlamakla suçladı. Operasyon kapsamında zararlı sunucular devre dışı bırakılırken Google, şirketin Android TV üretim sertifikasını iptal etti ve bağlantılı diğer kötü amaçlı yazılım ağlarının da iletişimini kesti.

XCPE Botneti Android TV Cihazlarına Üretim Sırasında Yerleştirildi

Google Tehdit İstihbarat Grubu (GTIG), yayımladığı raporda XCPE botnetinin sıradan saldırı yöntemlerinden farklı çalıştığını açıkladı. Siber suçluların güvenlik açıklarından yararlanması veya kullanıcıları zararlı uygulama yüklemeye yönlendirmesi yerine, XCPE doğrudan cihazların üretici yazılımına yerleştirildi. Google, yüksek güven düzeyiyle Videostrong Technology Co. firmasını işaret ederek zararlı altyapının yıllar boyunca farklı markalara ve cihaz modellerine dağıtıldığını bildirdi.

XCPE’nin temel bileşenleri arasında x.cpe ve com.oemservice adlarıyla izlenen arka kapılar bulunuyor. Android sistem düzeyinde yetkilerle çalışan bu bileşenler, ele geçirilen cihazların uzaktan kontrol edilmesine olanak tanıyor. Zararlı yazılım, cihaz açıldığında anyevonline[.]com alan adı altındaki sunucularla bağlantı kuruyor; ardından komut ve kontrol altyapısından aldığı bilgilerle MQTT mesajlaşma aracılığıyla operatörlerden talimat alıyor.

Araştırmacılar, sistemin cihazın Android sürümüne ve modeline göre farklı alt alan adlarını kullandığını belirledi. Komut sunucularıyla kurulan bağlantı, saldırganların yeni zararlı uygulamalar yüklemesine, kabuk komutları çalıştırmasına, ekran görüntüleri almasına, tuş girişlerini izlemesine ve cihaz bilgilerini toplamasına imkân tanıyordu. Zararlı yazılım ayrıca Google Play Protect korumasını devre dışı bırakabilecek yeteneklere sahipti.

XCPE botneti yalnızca cihazlara uzaktan erişim sağlamakla kalmadı, aynı zamanda farklı siber suç gruplarının gelir elde etmesine hizmet etti. Operatörler, enfekte cihazlara ek modüller yükleyerek reklam gösterimlerini yapay biçimde artırdı, gizli web sayfalarını açtı ve reklamlara otomatik tıklamalar gerçekleştirdi. Bazı modüller ise cihazları başka zararlı yazılımların kurulumu için kullandı.

Saldırganların kullandığı yöntemlerden biri, ele geçirilen Android TV kutularını konut internet bağlantılarını kullanan vekil sunuculara dönüştürmekti. Linkfog, AppSalt/Honeygain, GaGaNode, NetNut ve Traffmonetizer gibi hizmetlerle ilişkilendirilen modüller, cihaz sahiplerinin bilgisi veya onayı olmadan üçüncü taraf internet trafiğini bu cihazlar üzerinden yönlendirdi. Bu düzenek, enfekte cihazları başka operatörlerin de kullanabildiği bir siber suç platformuna dönüştürdü.

Google, XCPE’nin komut ve kontrol sunucularını kapatarak bir düzineden fazla ilişkili zararlı yazılım ailesinin iletişimini de kesti. Şirkete göre bu altyapı, XCPE dışında farklı yollarla ele geçirilmiş en az 10 milyon ek cihazla bağlantılıydı. Söz konusu cihazlar arasında perakende amaçlı set üstü kutular, karaoke sistemleri ve uzaktan sağlık hizmetlerinde kullanılan donanımlar da bulunuyordu. Google, ek cihazların tamamının Android tabanlı olmadığını özellikle belirtti.

Google, XCPE operasyonunda Japonya Ulusal Polis Teşkilatı ile Lumen, HUMAN Security, Plume, Synthient ve TrendAI şirketlerinin desteğini aldı. Ortak çalışma kapsamında araştırmacılar zararlı altyapıyı inceledi, sunucuların işleyişini analiz etti ve botnetin operasyonel kapasitesini azaltmaya yönelik adımlar attı.

Şirket ayrıca Videostrong ile ilişkisini sonlandırdı. Google, üreticinin Google uygulamaları ve hizmetleri önceden yüklenmiş Android TV cihazları üretme lisansını iptal etti; şirketin ve gelecekteki bağlantılı kuruluşlarının sertifikalı Android cihaz üretmesini veya sertifikalı üreticilere yazılım sağlamasını yasakladı.

Siber güvenlik firması Synthient, ayrı bir araştırmada XCPE altyapısının izini 2025’in sonlarında satın alınan MECOOL KM9PRO Max Android TV kutusuna kadar takip ettiğini bildirdi. Araştırmacılar, zararlı dosyaların bulunduğu herkese açık bir dizinde Videostrong Ar-Ge Direktörü Owen Cao’nun adını taşıyan bir PDF belgesi buldu. Ayrıca şirketin videostrong[.]cn alan adının, komut sunucusuyla aynı IP adresine yönlendirildiği ve bazı arka kapıların şirket e-posta adresleri kullanılarak imzalandığı tespit edildi.

Google, elde edilen kanıtların zararlı yazılımın tek bir çalışanın hatasından veya geliştirme sürecindeki bir eksiklikten kaynaklanmadığına işaret ettiğini açıkladı. Şirket, Videostrong’un güvenlik testlerini atlatmak için kod gizleme yöntemleri kullandığını ve cihazlar ilk kez açıldıktan sonra zararlı kod yükleyebildiğini belirterek sertifikasyon inceleme sürecini de değiştirdi.

Google’ın sunucuları devre dışı bırakması, XCPE’nin iletişim altyapısını kesintiye uğratsa da zararlı yazılımı enfekte cihazlardan kaldırmıyor. Araştırmacılara göre zararlı bileşen silinse bile cihazın /oem/ bölümündeki dosyalar aracılığıyla yeniden kurulabiliyor. Bu nedenle yalnızca fabrika ayarlarına dönmek, enfeksiyonu kesin olarak ortadan kaldırmayabilir.

Etkilenen cihaz sahiplerinin güvenli bir üretici yazılımı yüklemesi, cihaz modeline uygun temiz yazılım bulunamıyorsa cihazı internetten ayırması gerekiyor. Kullanıcıların özellikle güvenilir olmayan kaynaklardan gelen güncelleme dosyalarına karşı dikkatli olması ve cihaz üreticilerinin güvenlik duyurularını takip etmesi önem taşıyor.

XCPE vakası, Android TV kutuları gibi uygun fiyatlı bağlantılı cihazların da üretim aşamasından itibaren güvenlik riski taşıyabileceğini ortaya koyuyor. Google’ın sertifikasyon sürecinde yaptığı değişiklikler, üretici yazılımının yalnızca ilk kurulumda değil, cihazın açılışından sonraki davranışlar bakımından da incelenmesi gerektiğini gösteriyor. Botnetin kontrol sunucuları kapatılmış olsa da kalıcı enfeksiyonun temizlenmesi, etkilenen cihazlar için ayrı bir güvenlik adımı olarak önemini koruyor.