Google, Android TV kutularına gizlenen X.CPE botnet'ini çökertti: 1,3 milyon cihaz etkilendi

Google, Japon polisi ve TrendAI, HUMAN ve Synthient ile ortak bir operasyonla X.CPE adlı botnet'i çökerttiğini duyurdu. Botnet, büyük kısmı ucuz ve markasız Android TV kutularından oluşan 1,3 milyondan fazla cihazı 200'den fazla ülkede kontrol ediyordu. Google'a göre operasyon, suçluların yaklaşık 10 milyon ek cihaza erişimini de kesmiş olabilir.

Üretici bağlantısı

Google, botnet'i Çinli Android OEM'i Videostrong Technology ile ilişkilendirdi; şirketle iş ilişkisini sonlandırdığını ve Videostrong'un Google uygulamaları önyüklü cihaz üretmesini yasakladığını açıkladı. Videostrong'un cihazları residential proxy hizmeti ve reklam dolandırıcılığı için kullandığı iddia ediliyor; şirket yorum taleplerine yanıt vermedi.

Google'dan Charley Snyder, altyapıya yapılan müdahalenin zararlı yazılımı "fiilen zararsız hale getirdiğini" söyledi. Ancak Google, kullanıcılara bildirim yapılıp yapılmayacağını ya da kötü amaçlı kodun cihazlardan kaldırılıp kaldırılmayacağını belirtmedi. Araştırmacılar daha önce bu tür kutularda zararlının sıfırlama sonrası yeniden yüklendiğini raporlamıştı.

Neden önemli?

Firmware seviyesinde zararlıyla gelen cihazlar ev ve ofis ağlarını, kullanıcının haberi olmadan saldırganların trafiğini geçirdiği bir proxy noktasına çeviriyor. Bu trafik kimlik bilgisi doldurma (credential stuffing), reklam dolandırıcılığı ve saldırı izlerinin gizlenmesi için kullanılıyor.

Ne yapılmalı?

• Play Protect sertifikası olmayan, markasız Android TV kutularını kurumsal ve ev ağlarında kullanmayın.
• Bu tür cihazları ayrı bir VLAN'a / misafir ağına alın; giden trafiklerini izleyin.
• Kurumsal ağlarda bilinen residential proxy ve botnet C2 alan adlarını DNS seviyesinde engelleyin.