Polis ve güvenlik firmaları 1.3 milyondan fazla Android cihazdan oluşan botneti bozdu

Japonya Ulusal Polis Teşkilatı ile çalışan özel sektör güvenlik firmalarından oluşan bir koalisyon, 200'den fazla ülkede 1.3 milyondan fazla Android cihazdan oluşan bir botnet kurmak için kullanılan XCPE adlı arka kapıyı etkisiz hâle getirdi. Google, Lumen, Human Security, Plume, Synthient ve TrendAI bu operasyona katıldı. Google Threat Intelligence Group, arka kapı ve botnetin Videostrong Technology tarafından finansal kazanç amacıyla kasıtlı olarak geliştirildiğini, dağıtıldığını ve işletildiğini yüksek güvenle değerlendirdiğini söyledi.

Araştırmacıların buldukları

Videostrong Technology, Çin'in Shenzhen kentinde bulunan bir donanım üreticisidir. Ev tipi TV kutuları ve projektörler dahil Android cihazlar üretir. Google'a göre Videostrong, XCPE arka kapısını cihaz yazılımına kasıtlı olarak gömdü ve suç ortaklarına erişim sattı; bu da onların, habersiz müşterilere gönderilen cihazlara ek kötü amaçlı yazılım modülleri kurmasına olanak tanıdı. Alıcılar bu cihazları ev ağlarına bağladığında, önceden yüklenmiş arka kapı, operatörlerin müşterilerin internet bağlantılarını kullanarak vekil (proxy) ağlar oluşturmasına ve kötü amaçlı trafiği gizlemesine, müşterilerin haberi olmadan izin verdi.

Arka kapı nasıl çalıştı

TrendAI'ye göre donanım yazılımının önceden yüklenmiş yönetim aracısı, standart bir uzaktan yönetim istemcisi gibi görünüyordu. Bu araç, bir GitHub sayfasından güncellemeler çekti ve operatöre her bir kutu üzerinde tam uzaktan kontrol sağlayan bir Message Queuing Telemetry Transport (MQTT) sunucusuna bağlandı; bu da onların uygulama kurup kaldırmasına, ayarları değiştirmesine ve enfekte cihazlara güncellemeler göndermesine olanak tanıyordu.

Ölçek ve etkisizleştirme

3 Haziran ile 1 Ekim arasında TrendAI, operasyona bağlı 3.8 milyondan fazla farklı ev ve mobil IP adresi belgeledi. Koalisyon ayrıca suç ortaklarının modüllerini yönetmek için kullanılan komuta ve kontrol (C2) alan adlarını da etkisiz hâle getirdi. Bu suç ortaklarının her birinin modüllerini XCPE'nin ötesinde çeşitlendirilmiş dağıtım kanalları bulunduğu için GTIG, C2 alan adlarının kapatılmasının en az 10 milyon ek ele geçirilmiş cihaza erişimi keseceğini söyledi.

Sonrası ve bağlantılı botnet

Google, o tarihten sonra Videostrong ile bağlarını kestiğini ve OEM'in önceden yüklenmiş Google uygulamalarına sahip cihazlar üretmesini yasakladığını söyledi. Videostrong, The Register'ın sorularına hemen yanıt vermedi. Bu arka kapı ve botnet operasyonu, Mart 2025'te Human, Google ve TrendAI'nin etkisiz hâle getirdiği, 10 milyondan fazla TV kutusu ve diğer cihazı enfekte eden bir başka kötü şöhretli botnet olan BadBox 2.0 ile aynı ekosistemin parçasıdır.

Kaynaklar: The Register