Cihazlar Türkiye’de de Satılıyor! 1,3 Milyon Android Cihazı Botnet Ağına Dönüştü

14 saat önce

3 dakikada okunur

Google, 1,3 milyondan fazla Android cihazı botnet ağına dönüştüren üreticiyle bağlarını kesti. Türkiye’de 30 binden fazla cihazın etkilendiği saldırıda kullanıcı verileri de hedef alındı.

Google, Çin merkezli Videostrong Technology'nin 1,3 milyondan fazla Android cihazı gizlice botnet ağına dönüştürdüğünü açıkladı. Ekim sonunda gerçekleştirilen operasyonla zararlı yazılımın kontrol sunucuları devre dışı bırakılırken Google, üreticiyle ilişkisini kesti ve şirketin sertifikalı Android cihaz üretmesini yasakladı.

Android TV kutularına gizli arka kapı yerleştirildi.

Google'ın araştırmasına göre Videostrong, yıllar boyunca farklı marka ve modellerdeki cihazların yazılımına x.cpe adı verilen bir arka kapı yerleştirdi. Google’a göre şirket, zararlı yazılımı finansal kazanç amacıyla kasıtlı olarak geliştirildi ve dağıttı.

Arka kapı, cihazların ilk açılışından sonra devreye girerek Google Play Protect'in uygulama kontrollerini devre dışı bırakabiliyor. Sistem uygulaması olarak çalışan ve sistem düzeyinde erişime sahip olan x.cpe, komuta ve kontrol (C2) sunucularından talimat alarak cihazlara kullanıcıların haberi olmadan uygulama yükleyebiliyor, komut çalıştırabiliyor, ekran görüntüsü alabiliyor ve cihazın bağlı olduğu ağı haritalandırabiliyor.

Google, Videostrong operatörlerinin bu yetenekleri kullanarak canlı ekran görüntüleri aldığını, tuş girişlerini kaydettiğini, hesap bilgilerini, cihaz verilerini, uygulama listelerini ve sistem günlüklerini kopyaladığını bildirdi.

Videostrong'un arka kapı üzerinden suç ortaklarına erişim sattığı ve bu kişilerin cihazlara ek zararlı yazılım modülleri yüklediği belirtiliyor. Bu sayede cihazların konut interneti bağlantılarını kullanan proxy ağlarına dahil edildiği tespit edildi.

Botnet ağı ağırlıklı olarak Android TV set üstü kutularından oluşsa da tele sağlık cihazları, karaoke makineleri ve dijital reklam ekranları da etkilendi.

Türkiye’de on binlerce cihaz var.

TrendAI'ın 3 Haziran-1 Ekim döneminde yaptığı incelemede 206 modelde toplam 1.472.554 enfekte cihaz tespit edildi. Kuruluş, gerçek sayının daha yüksek olabileceğini belirtiyor. En fazla enfekte cihazın bulunduğu ülkeler Malezya, Brezilya, Irak, Meksika ve Tayvan oldu. Türkiye’de ise etkilenen 32 bin 532 cihaz bulunuyor. Türkiye listede 11. sırada.

Google kontrol sunucularını kapattı.

Google, yasal süreçleri kullanarak botnet ağını yöneten alan adlarını ve sunucuları devre dışı bıraktı. Ayrıca arka kapı üzerinden yüklenen bir düzineden fazla zararlı yazılım ailesinin kontrol alan adlarını da kapattı.

Operasyona Japonya Ulusal Polis Ajansı, Lumen, HUMAN Security, Plume, Synthient ve TrendAI destek verdi. Google, söz konusu zararlı yazılım ailelerinin farklı dağıtım kanallarına da sahip olması nedeniyle müdahalenin en az 10 milyon ek enfekte cihaza erişimi kesebileceğini değerlendiriyor.

Ancak bu işlem, arka kapıyı cihazlardan kaldırmadı. x.cpe doğrudan cihazların yazılımına yerleştirildiği için yeniden başlatıldığında kendini tekrar yükleyebiliyor.

Cihaz sahipleri ne yapmalı?

Synthient, bağlantılı olduğu görülen 182 modelin listesini yayımladı. Ancak kuruluş, yalnızca model adının eşleşmesinin cihazın kesin olarak enfekte olduğu anlamına gelmediği konusunda uyarıyor. Araştırmacılar özellikle MECOOL markalı cihazlara dikkat çekiyor. MECOOL marka cihazlar Türkiye’de de yaygın olarak satılıyor.

Uzmanlar bu cihazların en azından fabrika ayarlarına döndürülmesini öneriyor. Ancak bu işlemin x.cpe arka kapısını kaldırıp kaldırmadığı kesin değil. TrendAI, zararlı yazılımın üreticinin anahtarıyla imzalanmış bir sistem uygulaması olarak çalıştığını ve temizliğin üretici müdahalesi, platform koruması veya cihazın değiştirilmesini gerektirdiğini belirtiyor. Synthient ise tüketicilere bu cihazları kullanmamalarını tavsiye ediyor.

Bu tip saldırılardan korunmak için almamız gereken tedbirlerin bazıları;

Android TV ve diğer akıllı cihazların güvenilir, sertifikalı üreticilerden temin edilmesi.
Cihazların yazılım ve güvenlik güncellemelerinin düzenli olarak kontrol edilmesi.
Bilinen zararlı yazılım içeren veya riskli olduğu bildirilen cihaz modellerinin tespit edilmesi.
Google Play Protect gibi güvenlik mekanizmalarının aktif tutulması.
Akıllı cihazların ana ağdan izole edilerek ayrı bir VLAN veya misafir ağında çalıştırılması.
DNS filtreleme ve güvenlik duvarı kurallarıyla zararlı komuta-kontrol (C2) sunucularına erişimin engellenmesi.
Cihazlardan kaynaklanan şüpheli ağ trafiğinin düzenli olarak izlenmesi.
Fabrika ayarlarına sıfırlamanın firmware seviyesindeki zararlı yazılımları temizlemeyebileceği unutulmamalı; güvenilir güncelleme bulunmayan enfekte cihazlar kullanımdan kaldırılmalıdır.