Google, 2 Kasım'da ciddi bir güvenlik ihlalini açıkladı: Android TV cihazı üreticisi Videostrong, en az 10 milyon (bazı raporlara göre 13 milyon) cihazın içine gizlice zararlı yazılım kodladı. Bu kodlar XCPE adında bir bot ağının oluşmasını ve çalışmasını sağlamış; cihazlar, kullanıcıların haberi olmadan, merkezi kontrolü ve kötü amaçlı yazılım tarafından ele geçirilmişti.
Videostrong bu gizleme işini "birden fazla yıl" boyunca yaptı. Videostrong'a ait Mecool markasındaki cihazlar başta olmak üzere, pek çok Android TV kutusu tasarlandığında zaten zararlı yazılım içeriyordu. Yazılımcılar "obfuscation" (gizleme) teknikleriyle Google'ın ilk önyükleme sırasında yapılan testlerini atlattılar ve sonra cihaz açıldıktan sonra kötü amaçlı kod yüklettiler. Bu stratejik gizleme Videostrong'u Google'ın otomatik güvenlik kontrollerinden kurtardı.
XCPE bot ağı nasıl çalıştı
Videostrong, XCPE bot ağını çalıştırmak için merkezi komuta-kontrol sunucuları kurdu. Bu merkezi yapı sayesinde Videostrong, milyonlarca cihaza denetim veriyordu—malware dağıtabilir, uzaktan komut alabilir ve tüm yapılandırmalarını güncelleyebilirdi. Sistem "sürekli gelişen" teknikler ve "gizleme yöntemleri" kullanarak algılamadan kaçınıyordu; bu sayede yıl boyunca tespit edilmedi.
Google açıkça başarısızlığını itiraf etti
Google, bu utanç verici durumdan sonra "başarısızlığımız" dedi. Videostrong'un cihazları "sertifikalı" Google ürünü olarak pazarlanmışken, gizlice zararlı kod yüklemek habersiz milyonlarca müşteriye güvenlik riski yaratmıştır. Google bu durumu "güvenime karşı kabul edilemez bir ihlal" olarak nitelendirdi. Videostrong'u derhal yasakladı—artık sertifikalı Android TV yazılımı satamayacak ve diğer sertifikalı satıcılara yazılım temin edemeyecek.
Şimdi ne olacak?
Google, Videostrong'un kontrol ettiği alan adları (domains) ve komuta-kontrol sunucularını bloke etti. Bu sayede bot ağı kesintiye uğradı; cihazlar artık merkezi komanda almaz. Ancak 10-13 milyon cihaz sahibi niye bilmedikleri bir bot ağının parçası oldukları sorusunu soruyor. 9to5Google'a göre Google'ın alan adlarını ve sunucuları engellemesi, etkilenen cihazları kullanmak için güvenli hale getirmeli; yine de cihaz sahipleri alternatifleri düşünmek isteyebilir. Videostrong'un Mecool markası bu arada kapatılacağı söyleniyor.
Google ayrıca Videostrong'un Google uygulamaları önceden yüklü cihaz üretmesini de yasakladı ve inceleme sürecini kullanıcıları bu tür davranışlara karşı korumak için güncellediğini belirtti. Bu olay, "sertifikalı" cihazların kuruluş tarafından kontrol edilen yazılımdan tamamen saf olması gerektiği sorusunu geri getirmektedir.
The Register'a göre XCPE botnet'ini bozan operasyonu, Japonya Ulusal Polis Ajansı ile çalışan özel sektör güvenlik firmalarından oluşan bir koalisyon yürüttü; koalisyonda Google, Lumen, Human Security, Plume, Synthient ve TrendAI yer aldı.
