Google, üretim aşamasında zararlı yazılım yüklendiği belirtilen 1,3 milyondan fazla Android TV cihazını kapsayan XCPE botnetine yönelik uluslararası operasyon gerçekleştirdi. Şirket, Çin merkezli Videostrong Technology. firmasını cihazlara kalıcı arka kapı yerleştirmekle siber suçlulara erişim sağlamakla suçladı. Operasyon kapsamında zararlı sunucular devre dışı bırakılırken Google, şirketin Android TV üretim sertifikasını iptal etti bağlantılı kötü amaçlı yazılım ağlarının iletişimini kesti.
XCPE Botneti Android TV Cihazlarına Üretim Sırasında YerleştirildiGoogle Tehdit İstihbarat Grubu (GTIG), yayımladığı raporda XCPE botnetinin sıradan saldırı yöntemlerinden farklı çalıştığını açıkladı. Siber suçluların güvenlik açıklarından yararlanması veya kullanıcıları zararlı uygulama yüklemeye yönlendirmesi yerine, XCPE doğrudan cihazların üretici yazılımına yerleştirildi. Google, yüksek güven düzeyiyle Videostrong Technology. firmasını işaret ederek zararlı altyapının yıllar boyunca farklı markalara cihaz modellerine dağıtıldığını bildirdi.
XCPE’nin temel bileşenleri arasında.cpe.oemservice adlarıyla izlenen arka kapılar bulunuyor. Android sistem düzeyinde yetkilerle çalışan bileşenler, ele geçirilen cihazların uzaktan kontrol edilmesine olanak tanıyor. Zararlı yazılım, cihaz açıldığında anyevonline[.] alan adı altındaki sunucularla bağlantı kuruyor; ardından komut kontrol altyapısından aldığı bilgilerle MQTT mesajlaşma aracılığıyla operatörlerden talimat alıyor.
Araştırmacılar, sistemin cihazın Android sürümüne modeline göre farklı alt alan adlarını kullandığını belirledi. Komut sunucularıyla kurulan bağlantı, saldırganların yeni zararlı uygulamalar yüklemesine, kabuk komutları çalıştırmasına, ekran görüntüleri almasına, tuş girişlerini izlemesine cihaz bilgilerini toplamasına imkân tanıyordu. Zararlı yazılım ayrıca Google Play Protect korumasını devre dışı bırakabilecek yeteneklere sahipti.
XCPE botneti yalnızca cihazlara uzaktan erişim sağlamakla kalmadı, aynı zamanda farklı siber suç gruplarının gelir elde etmesine hizmet. Operatörler, enfekte cihazlara ek modüller yükleyerek reklam gösterimlerini yapay biçimde artırdı, gizli web sayfalarını açtı reklamlara otomatik tıklamalar gerçekleştirdi. Bazı modüller ise cihazları başka zararlı yazılımların kurulumu için kullandı.
Saldırganların kullandığı yöntemlerden biri, ele geçirilen Android TV kutularını konut internet bağlantılarını kullanan vekil sunuculara dönüştürmekti. Linkfog, AppSalt/Honeygain, GaGaNode, NetNut Traffmonetizer gibi hizmetlerle ilişkilendirilen modüller, cihaz sahiplerinin bilgisi veya onayı olmadan üçüncü taraf internet trafiğini cihazlar üzerinden yönlendirdi. düzenek, enfekte cihazları başka operatörlerin kullanabildiği siber suç platformuna dönüştürdü.
Google, XCPE’nin komut kontrol sunucularını kapatarak düzineden fazla ilişkili zararlı yazılım ailesinin iletişimini kesti. Şirkete göre altyapı, XCPE dışında farklı yollarla ele geçirilmiş en az 10 milyon ek cihazla bağlantılıydı. Söz konusu cihazlar arasında perakende amaçlı set üstü kutular, karaoke sistemleri uzaktan sağlık hizmetlerinde kullanılan donanımlar bulunuyordu. Google, ek cihazların tamamının Android tabanlı olmadığını özellikle belirtti.
Google, XCPE operasyonunda Japonya Ulusal Polis Teşkilatı Lumen, HUMAN Security, Plume, Synthient TrendAI şirketlerinin desteğini. Ortak çalışma kapsamında araştırmacılar zararlı altyapıyı inceledi, sunucuların işleyişini analiz etti botnetin operasyonel kapasitesini azaltmaya yönelik adımlar.
Şirket ayrıca Videostrong ilişkisini sonlandırdı. Google, üreticinin Google uygulamaları hizmetleri önceden yüklenmiş Android TV cihazları üretme lisansını iptal etti; şirketin gelecekteki bağlantılı kuruluşlarının sertifikalı Android cihaz üretmesini veya sertifikalı üreticilere yazılım sağlamasını yasakladı.
Siber güvenlik firması Synthient, ayrı araştırmada XCPE altyapısının izini 2025’in sonlarında satın alınan MECOOL KM9PRO Max Android TV kutusuna kadar tiğini bildirdi. Araştırmacılar, zararlı dosyaların bulunduğu herkese açık dizinde Videostrong Ar-Ge Direktörü Owen Cao’nun adını taşıyan PDF belgesi buldu. Ayrıca şirketin videostrong[.]cn alan adının, komut sunucusuyla aynı IP adresine yönlendirildiği bazı arka kapıların şirket e-posta adresleri kullanılarak imzalandığı tespit edildi.
Google, elde edilen kanıtların zararlı yazılımın tek çalışanın hatasından veya geliştirme sürecindeki eksiklikten kaynaklanmadığına işaret ettiğini açıkladı. Şirket, Videostrong’un güvenlik testlerini atlatmak için kod gizleme yöntemleri kullandığını cihazlar ilk kez açıldıktan sonra zararlı kod yükleyebildiğini belirterek sertifikasyon inceleme sürecini değiştirdi.
Google’ın sunucuları devre dışı bırakması, XCPE’nin iletişim altyapısını kesintiye uğratsa zararlı yazılımı enfekte cihazlardan kaldırmıyor. Araştırmacılara göre zararlı bileşen silinse bile cihazın /oem/ bölümündeki dosyalar aracılığıyla yeniden kurulabiliyor. nedenle yalnızca fabrika ayarlarına dönmek, enfeksiyonu kesin olarak ortadan kaldırmayabilir.
Etkilenen cihaz sahiplerinin güvenli üretici yazılımı yüklemesi, cihaz modeline uygun temiz yazılım bulunamıyorsa cihazı internetten ayırması gerekiyor. Kullanıcıların özellikle güvenilir olmayan kaynaklardan gelen güncelleme dosyalarına karşı dikkatli olması cihaz üreticilerinin güvenlik duyurularını mesi önem taşıyor.
XCPE vakası, Android TV kutuları gibi uygun fiyatlı bağlantılı cihazların üretim aşamasından itibaren güvenlik riski taşıyabileceğini ortaya koyuyor. Google’ın sertifikasyon sürecinde yaptığı değişiklikler, üretici yazılımının yalnızca ilk kurulumda değil, cihazın açılışından sonraki davranışlar bakımından incelenmesi gerektiğini gösteriyor. Botnetin kontrol sunucuları kapatılmış olsa kalıcı enfeksiyonun temizlenmesi, etkilenen cihazlar için ayrı güvenlik adımı olarak önemini koruyor.
