Android TV Box Botnet: Google Videostrong'u Yasakladı, 1,3 Milyon Cihaz Etkilendi

Android TV box botnet vakası, “Google sertifikalı” etiketinin tek başına güvence olmadığını gösterdi. Google, Çin'in Shenzhen kentindeki Videostrong Technology'nin 1,3 milyon cihazın içine kasıtlı olarak bir arka kapı yerleştirdiğini ve bu cihazları botnet'e çevirdiğini doğruladı. The Verge'ün aktardığına göre Google, şirketle bağlarını kopardı; Videostrong sertifikalı Android cihaz üretmekten, satmaktan ve sertifikalı üreticilere yazılım sağlamaktan yasaklandı.

Android TV box botnet'i nasıl çalışıyordu?

Google'a göre kötü amaçlı yazılım, cihaz ilk kez açıldıktan sonra yüklenecek şekilde “gizleme teknikleriyle” tasarlanmıştı; bu sayede Google'ın sertifikasyon testlerindeki bir boşluktan geçti. Arka kapı birçok farklı cihaz modeline ve markaya, yıllara yayılan sürümlerle doğrudan gömülmüştü. Etkilenenlerin çoğu Android TV set-top box'ıydı; ancak botnet telesağlık cihazlarını, karaoke makinelerini ve dijital tabelaları da kapsıyordu.

• Ne yapıyordu: Cihazlar sahiplerinin haberi olmadan reklam sahtekârlığı, veri sızdırma ve yetkisiz ağ trafiği yönlendirme için kullanılıyordu.
• Para nasıl kazanılıyordu: Google'a göre Videostrong arka kapıya erişimi suç ortaklarına satıyor, onların kötü amaçlı modüllerini cihazlara yüklüyordu. Bu modüller reklam sahtekârlığı yapıyor, cihazları sessizce konut proxy ağlarına dahil ediyor ve ek zararlı yazılım yüklüyordu.
• Kapsam: Google, iştirakçilerin komuta-kontrol (C2) alan adlarını da kapatmanın en az 10 milyon ek cihazın erişimini keseceğini tahmin ediyor.

Google ne yaptı?

9to5Google'a göre Google, botnet'i yöneten alan adları ve sunuculara karşı hukuki adım attı, Videostrong ve iştiraklerini önceden yüklü Google uygulamalı cihaz üretmekten yasakladı ve inceleme sürecini değiştiriyor. Google, “bir cihaz üreticisinin kullanıcılarını kasten kötü amaçlı yazılımla enfekte etmesi kabul edilemez bir güven ihlalidir” diyor.

Hangi cihazlar etkilenmiş olabilir?

Synthient'in (The Hacker News üzerinden) derlediği etkilenmiş olabilecek cihaz listesinde ağırlık Mecool markasında; 9to5Google'a göre Mecool geçmişte bilinen birçok Android TV ve Google TV kutusu yapmıştı ve şirketin kapanacağına dair söylentiler var. Bunun dışında hangi marka ve modellerin etkilendiğini Google tek tek açıklamadı; “birçok farklı model ve marka” ifadesini kullandı. Cihazınızın etkilenip etkilenmediğini kesin olarak bilmenin bir yolu bu haberlerde verilmiyor.

Elinizde Android TV kutusu varsa ne yapmalısınız?

• Cihazın markasını ve üreticisini kontrol edin; Mecool markası, Synthient listesinde öne çıkıyor.
• 9to5Google'ın değerlendirmesine göre C2 sunucularının kapatılması etkilenen kutuları kullanılabilir bırakmalı; yine de sahiplerinin alternatif cihazları değerlendirmesi mantıklı.
• Kutuyu mümkünse ana ağdan ayrı bir misafir ağına alın ve hesaplarınızla bağlantısını sınırlayın.
• Güvenilir markaların resmî Google TV/Android TV cihazlarını, bilinen satıcılardan almayı tercih edin.

Android TV tarafındaki diğer güvenlik gelişmeleri için SmartTube uyarısı yazımıza da bakabilirsiniz. Bu önlemler genel öneridir; kaynaklarda cihaz bazında doğrulama yöntemi verilmedi.