1,3 Milyon Android Cihaz Botnet Ağına Dönüştürüldü: Türkiye'de 32 Bin Cihaz Etkilendi

Google, Çin merkezli Videostrong Technology'nin farklı markalara ait 1,3 milyondan fazla Android cihazı gizlice botnet ağına dahil ettiğini açıkladı. Android TV kutuları başta olmak üzere çeşitli cihazlara yerleştirilen x.cpe adlı arka kapının kullanıcıların bilgisi dışında veri toplayabildiği, komut çalıştırabildiği ve ek zararlı yazılımlar yükleyebildiği belirtildi. Türkiye'de de 32 bin 532 cihazın etkilendiği tespit edilirken, özellikle MECOOL marka ürünlere dikkat çekildi.

Android TV Kutularına Gizli Arka Kapı Yerleştirildi

Google'ın araştırmasına göre Videostrong Technology, yıllar boyunca farklı marka ve modellerdeki Android cihazların yazılımlarına x.cpe isimli bir arka kapı yerleştirdi. Şirketin bu yazılımı finansal kazanç elde etmek amacıyla kasıtlı olarak geliştirdiği ve dağıttığı ifade edildi.

Cihazların ilk açılışından sonra devreye girebilen arka kapı, Google Play Protect'in uygulama kontrollerini devre dışı bırakabiliyor. Sistem uygulaması olarak çalışan ve sistem düzeyinde erişime sahip olan x.cpe, komuta ve kontrol sunucularından aldığı talimatlar doğrultusunda cihaz üzerinde farklı işlemler gerçekleştirebiliyor.

Bu kapsamda zararlı yazılımın kullanıcıların haberi olmadan uygulama yükleyebildiği, komut çalıştırabildiği, ekran görüntüsü alabildiği ve cihazın bağlı olduğu ağı haritalandırabildiği bildirildi.

Kullanıcıların Ekran Görüntüleri ve Hesap Bilgileri Ele Geçirildi

Google'ın açıklamasında, Videostrong operatörlerinin arka kapının sunduğu yetenekleri kullanarak cihazlardan çeşitli bilgileri topladığı belirtildi. Bunlar arasında canlı ekran görüntüleri, tuş girişleri, hesap bilgileri, cihaz verileri, uygulama listeleri ve sistem günlükleri bulunuyor.

Videostrong'un bu arka kapı üzerinden suç ortaklarına erişim sattığı da aktarıldı. Söz konusu kişilerin cihazlara ek zararlı yazılım modülleri yüklediği ve böylece cihazların konut interneti bağlantılarını kullanan proxy ağlarına dahil edildiği tespit edildi.

Etkilenen cihazlar yalnızca Android TV set üstü kutularıyla sınırlı kalmadı. Araştırmada tele sağlık cihazları, karaoke makineleri ve dijital reklam ekranlarının da botnet ağına dahil olduğu belirtildi.

Türkiye'de 32 Bin 532 Enfekte Cihaz Tespit Edildi

TrendAI tarafından 3 Haziran ile 1 Ekim tarihleri arasında gerçekleştirilen incelemede, 206 farklı modelde toplam 1 milyon 472 bin 554 enfekte cihaz belirlendi. Kuruluş, gerçek cihaz sayısının açıklanan rakamın üzerinde olabileceği uyarısında bulundu.

En fazla enfekte cihazın tespit edildiği ülkeler Malezya, Brezilya, Irak, Meksika ve Tayvan olarak sıralandı. Türkiye'de ise 32 bin 532 cihazın etkilendiği bildirildi. Bu rakamla Türkiye, enfekte cihaz sayısının en yüksek olduğu ülkeler listesinde 11. sırada yer aldı.

Google Botnet Ağını Yöneten Sunucuları Devre Dışı Bıraktı

Google, yasal süreçleri kullanarak botnet ağının yönetiminde kullanılan alan adlarını ve sunucuları devre dışı bıraktı. Ayrıca arka kapı aracılığıyla cihazlara yüklenen bir düzineden fazla zararlı yazılım ailesinin kontrol alan adlarının da kapatıldığı açıklandı.

Operasyona Japonya Ulusal Polis Ajansı'nın yanı sıra Lumen, HUMAN Security, Plume, Synthient ve TrendAI destek verdi.

Google, söz konusu zararlı yazılım ailelerinin farklı dağıtım kanallarını da kullandığını belirterek gerçekleştirilen müdahalenin en az 10 milyon ek enfekte cihazın kontrolüne erişimi kesebileceğini değerlendirdi.

Ancak sunucuların devre dışı bırakılması, x.cpe arka kapısının cihazlardan tamamen kaldırıldığı anlamına gelmiyor. Zararlı yazılım doğrudan cihazların yazılımına yerleştirildiği için cihaz yeniden başlatıldığında kendisini tekrar yükleyebiliyor.

MECOOL Marka Cihaz Sahiplerine Uyarı Yapıldı

Synthient, botnet ağıyla bağlantılı olabileceği belirtilen 182 modelin listesini yayımladı. Ancak kuruluş, listede bir modelin bulunmasının o modele ait her cihazın kesin olarak enfekte olduğu anlamına gelmediğini özellikle vurguladı.

Araştırmacılar, Türkiye'de de yaygın olarak satılan MECOOL marka cihazlara dikkat çekti. Bu ürünleri kullananların cihazlarının güvenliği konusunda temkinli olması gerektiği belirtildi.

Uzmanlar, söz konusu cihazların en azından fabrika ayarlarına döndürülmesini öneriyor. Bununla birlikte fabrika ayarlarına dönüş işleminin x.cpe arka kapısını kesin olarak kaldırıp kaldırmadığı bilinmiyor.

Fabrika Ayarlarına Dönmek Zararlı Yazılımı Temizlemeyebilir

TrendAI'ın açıklamasına göre x.cpe, üreticinin anahtarıyla imzalanmış bir sistem uygulaması olarak çalışıyor. Bu nedenle zararlı yazılımın tamamen temizlenmesi için üreticinin müdahalesi, platform düzeyinde koruma veya cihazın değiştirilmesi gerekebilir.

Synthient ise tüketicilere bu cihazları kullanmamalarını tavsiye ediyor. Dolayısıyla yalnızca fabrika ayarlarına dönmek, cihazın güvenli hale geldiğini garanti etmiyor.

Kaç Android cihaz botnet ağına dönüştürüldü?

Google'ın açıklamasına göre Videostrong kaynaklı zararlı yazılım nedeniyle 1,3 milyondan fazla Android cihaz botnet ağına dahil edildi. TrendAI incelemesinde ise 1 milyon 472 bin 554 enfekte cihaz tespit edildi.

Türkiye'de kaç cihaz etkilendi?

Türkiye'de 32 bin 532 enfekte cihaz belirlendi. Türkiye, etkilenen cihaz sayısında ülkeler arasında 11. sırada yer aldı.

Hangi cihaz markasına özellikle dikkat çekiliyor?

Araştırmacılar, Türkiye'de de yaygın olarak satılan MECOOL marka cihazlara özellikle dikkat çekiyor.

Fabrika ayarlarına dönmek zararlı yazılımı kaldırır mı?

Fabrika ayarlarına dönüşün x.cpe arka kapısını kesin olarak kaldırdığı doğrulanmış değil. TrendAI, temizliğin üretici müdahalesi, platform koruması veya cihazın değiştirilmesini gerektirebileceğini belirtiyor.

Google'ın operasyonu zararlı yazılımı tamamen temizledi mi?

Hayır. Google, botnet ağını yöneten sunucuları ve alan adlarını devre dışı bıraktı ancak bu işlem arka kapıyı cihazlardan kaldırmadı. Zararlı yazılımın yeniden başlatma sonrasında kendisini tekrar yükleyebildiği bildirildi.