Michael JohnsonVideostrong üretici yazılımına sahip bir Android TV kutusunun sahibiyseniz cihazın kaynağını kontrol edin: Google, 2 Kasım’da ortaklarıyla birlikte 1,3 milyondan fazla TV kutusunun dahil olduğu XCPE botnetinin faaliyetlerini aksattığını duyurdu. Operasyon kapsamında Google, kontrol sunucularının ve kötü amaçlı alan adlarının devre dışı bırakılması için girişimde bulundu; Videostrong’un da Google uygulamaları önceden yüklenmiş sertifikalı Android cihazlar üretmesi yasaklandı. Google, operasyonu bazı modellerin üretici yazılımına yerleştirilmiş bir arka kapıya karşı alınan önlem olarak tanımladı.
Hangi altyapı devre dışı bırakıldı?
Google Threat Intelligence Group’a göre XCPE, üretici yazılımına yerleştirilmiş x.cpe bileşenini kullanıyordu. Bu bileşen bir kontrol sunucusuyla bağlantı kuruyor, komut alıyor ve ek modüller indiriyordu. Google, Videostrong’un botneti yönetmek ve kötü amaçlı bileşenleri yüklemek için kullandığı alan adları ve sunuculara, ayrıca bir düzineden fazla kötü amaçlı yazılım ailesinin kontrol alan adlarına karşı hukuki adımlar attığını bildirdi.
Operasyona Japonya Ulusal Polis Teşkilatı, Lumen, HUMAN Security, Plume, Synthient ve TrendAI katıldı. Google ayrıca Videostrong’un ve gelecekteki bağlı şirketleri ile iştiraklerinin sertifikalı Android cihazlar üretip satmasını ve diğer sertifikalı üreticilere yazılım sağlamasını yasakladığını açıkladı. Şirket, Android TV üretici yazılımlarının bütünlüğünü denetleme süreçlerinde değişiklik yaptığını da bildirdi.
“Faaliyetlerini aksattı” ifadesi, her televizyonun anında temizlendiğini ileri sürmekten daha doğrudur. Google, kontrol altyapısının ve ilişkili alan adlarının dağıtılmasını anlatıyor; açıklamada daha önce satılmış tüm TV kutularındaki üretici yazılımlarının uzaktan düzeltildiği belirtilmiyor. Sunucuların devre dışı bırakılması, operatörlerin önemli kontrol ve modül dağıtım kanallarını keser; ancak kurulu yazılımı kendi başına yeniden yazmaz.
Bulaşma neden yeniden başlatmadan sonra da sürüyordu?
Kötü amaçlı bileşen, üretici yazılımının sistem bölümünde bulunuyordu. Google’a göre x.cpe sistem ayrıcalıklarıyla çalışıyor ve kullanıcı uygulamayı normal veri bölümünden silse bile yeniden başlatmanın ardından kendi kopyasını geri yükleyebiliyordu. Bu nedenle Android ayarlarından şüpheli bir uygulamayı bulup kaldırmaya çalışmak, TV kutusunun temizlendiğini garanti etmiyordu.
Arka kapı, kontrol altyapısıyla kalıcı bağlantı kuruyor ve uygulamaları gizlice yükleme, kabuk başlatma ve veri toplama komutları alabiliyordu. Google; ekran görüntülerinin ele geçirilmesini, komut girişini, hesap ve sistem bilgilerinin aktarılmasını ve betiklerin çalıştırılmasını gözlemlediğini bildirdi. İndirilen modüller cihazları konut proxy ağlarının düğümlerine dönüştürüyor veya reklam sahtekârlığında kullanıyordu; bazı modüller ek kötü amaçlı yazılımlar da yüklüyordu.
Bu durum sıradan bir TV kutusunu başkasının ağ altyapısının parçasına dönüştürüyor. Ev bağlantısı üzerinden geçen trafik, cihaz uzaktaki bir operatörün komutlarını yerine getiriyor olsa bile kullanıcıya aitmiş gibi görünebilir. Google’ın tespit ettiği hedefler arasında reklam gösterimi sahtekârlığı ve veri aktarımı da vardı.
TV kutusu sahipleri ne yapmalı?
Önce cihazın tam marka ve modelini, üretici yazılımının üreticisini ve sertifika bilgilerini kontrol edin. Marka adı tek başına bulaşma olduğunu göstermez: Google, Videostrong yazılımının çok sayıda model ve markaya girdiğini belirtiyor; dolayısıyla cihazın kaynağı ve üretici yazılımı belirleyici önem taşıyor. Bilgileri Android TV’nin güncel resmî iş ortakları listesi ve satıcı ya da üretici belgeleriyle karşılaştırın.
Cihazın kaynağını belirleyemiyorsanız veya etkilenen ekosisteme aitse bağlantısını kesin ve değiştirme ya da üretici yazılımını yeniden yükleme konusunda satıcıdan veya üreticiden doğrulanmış talimat isteyin. Google’ın açıklamasına göre sistem üretici yazılımında bulunan ve yeniden başlatma sonrasında geri yüklenen bir bileşen için fabrika ayarlarına dönmek ve uygulamaları silmek yeterli çözüm sayılmamalıdır. Forumlardan rastgele üretici yazılımı dosyaları yüklemeyin: yanlış dosya cihazı çalışmaz hâle getirebilir veya yeni riskler doğurabilir.
TV kutusu hesaplara giriş yapmak için kullanıldıysa veya kişisel bilgileri görüntülediyse, bu hesapların hareketlerini güvenilir başka bir cihazdan kontrol edin ve yetkisiz erişim belirtisi varsa parolaları değiştirin. Bu adım hesapları korumaya yöneliktir; TV kutusunu temizlemez. Bu nedenle cihazla ilgili çözümü ayrıca ele almak gerekir.
Operasyondan sonra geriye ne kaldı?
Google, XCPE’yi Videostrong’un arka kapıyı kasıtlı olarak yüklemesi ve ticari amaçla kullanmasıyla ilişkilendiriyor. Şirket ayrıca ilişkili modüllerin kontrol alan adlarının devre dışı bırakılmasının, XCPE dışındaki 10 milyondan fazla ele geçirilmiş cihazın erişimini de kesebileceğini tahmin ediyor. Bu, ortak altyapıya yönelik önlemlerin olası etkisine dair Google’ın tahminidir; temizlendiği doğrulanmış cihaz sayısı değildir.
Kullanıcılar için temel sonuç açık: TV kutusu bilinmeyen bir kaynaktan geldiyse veya Videostrong üretici yazılımını kullanıyorsa uygulamaları silmek ve cihazı yeniden başlatmak, cihazın temiz olduğuna dair güvenilir kanıt sağlamaz. Modeli ve kaynağı kontrol ettikten sonra cihazı değiştirmek ya da üretici yazılımını doğrulanmış bir yöntemle geri yüklemek, görünür tek bir bileşeni elle silmeye çalışmaktan daha sağlam bir yoldur.
