Ne oldu
Çoğu Android TV kutusu olan 1,3 milyondan fazla cihazdan oluşan bir botnet, Ekim sonunda Google'ın öncülük ettiği bir müdahaleyle sunucularının kontrolünü kaybetti. Google, Şenzen merkezli cihaz üreticisi Videostrong'un kutulara kasıtlı olarak bir arka kapı yerleştirdiğinden ve bu erişimi suçlulara sattığından "yüksek güvenle" emin olduğunu söyledi. Şirkete göre bunun arkasında kontrolden çıkmış bir çalışan ya da bir hata yok.
Suçlular kutuları reklam sahtekârlığı için ve başkalarının internet trafiğini cihaz sahiplerinin ev bağlantılarından geçirmek için kullandı. Google hukuki yollarla botneti yöneten alan adlarını ve sunucuları kapattı; arka kapı üzerinden yüklenen bir düzineden fazla zararlı yazılım ailesinin kontrol alan adlarını da devre dışı bıraktı. Japonya Ulusal Polis Teşkilatı, Lumen, HUMAN Security, Plume, Synthient ve TrendAI operasyona katıldı.
Kimler etkileniyor
Videostrong kendi markasının yanında başka markalar için de cihaz üretiyor; x.cpe adlı arka kapı yıllar içinde çok sayıda model ve markaya yerleştirildi. Etkilenenlerin çoğu Android TV kutusu, ancak arka kapı tele-sağlık cihazlarında, karaoke makinelerinde ve dijital tabelalarda da görüldü. TrendAI 3 Haziran–1 Ekim arasında 206 modelde 1.472.554 enfekte cihaz saydı; en çok Malezya, Brezilya, Irak, Meksika ve Tayvan'da. Synthient, kampanyada görülen 182 model adını yayımladı; tek başına model adının cihazın enfekte olduğunu kanıtlamadığını da belirtiyor. Google, Videostrong'u ve gelecekteki iştiraklerini sertifikalı Android cihaz üretmekten ve satmaktan men etti.
Teknik ayrıntı
Google'ın analizine göre x.cpe firmware içinde sistem düzeyinde yetkili bir sistem uygulaması olarak çalışıyor, botnetin komuta-kontrol sunucularına bağlanıp emir bekliyor. Sessizce uygulama kurabilmek için önce Google Play Protect'in uygulama denetimlerini kapatıyor. Operatörler bu yolla sahibinden habersiz uygulama kurabiliyor, komut çalıştırabiliyor, ekran görüntüsü alabiliyor ve kutunun bulunduğu ağı haritalayabiliyordu. Arka kapı firmware'in parçası olduğu için kaldırılsa da cihaz yeniden başladığında geri geliyor; TrendAI temizliğin üretici müdahalesi ya da cihaz değişimi gerektirdiğini söylüyor. Google, Videostrong'un kodunu gizleyerek uyumluluk testlerindeki bir boşluğu aştığını ve zararlı kodu ilk açılıştan sonra yüklediğini belirtti.
Ne yapmalı
- Ağınızdaki sertifikasız Android TV kutularını, ucuz medya cihazlarını ve dijital tabelaları envantere çıkarın.
- Synthient'in yayımladığı göstergelerle MECOOL ve benzeri cihazları arayın; bulunanları ağdan ayırın ve kaldırın.
- Akıllı cihazları hassas sistemlerden ayrı bir ağ bölümüne (misafir/IoT VLAN) alın; raporlarda listelenen kontrol alan adlarını ve IP adreslerini engelleyin.
- Uzaktan çalışan personelin ev ağındaki yönetilmeyen cihazları saldırı yüzeyinin parçası sayın; kurumsal erişimi yönetilen cihazlarla sınırlayın.
Doğrulama
Tek kaynaklı iddia. Bulgular Google'ın açıklamasına ait ve THN aktarımından okundu; Google'ın kendi yazısı ve Videostrong'un yanıtı açılmadı. 'Kasıt' değerlendirmesi Google'ındır.
Görsel: thehackernews.com
