Google, arka kapının bir kaza, ele geçirilmiş bir derleme sunucusu ya da şirket içinden bir kötü niyetli çalışan işi olmadığını söylüyor. Pazartesi yayımlanan tehdit istihbaratı raporunda şirket, MECOOL markalı TV box'ların arkasındaki Shenzhen merkezli üretici Videostrong Technology'nin bu yazılımı kendisinin tasarladığını, dağıttığını ve işlettiğini yüksek güvenle değerlendirdiğini belirtiyor — ve suç ortaklarına erişim satarak para kazandığını.

x.cpe olarak izlenen zararlı yazılım cihazlara sonradan indirilmedi. Firmware'in içinde geldi, üreticinin kendi anahtarıyla imzalanmış bir sistem uygulaması olarak çalıştı ve bir komuta-kontrol sunucusundan emir bekledi. Bir şey kurmadan önce Google Play Protect'in uygulama denetimlerini kapatıyordu. Oradan operatörler sahibi fark etmeden uygulama kurabiliyor, komut çalıştırabiliyor, canlı ekran görüntüsü alabiliyor, tuş vuruşu gönderebiliyor, hesap bilgilerini, cihaz bilgilerini, uygulama listelerini ve sistem kayıtlarını çekebiliyor, ters kabuk açabiliyor ve cihazın bulunduğu ağı haritalayabiliyordu.

Bu erişimi satın alanların yaptıklarının çoğu sessiz ve ticarîydi. Modüller cihazları konut vekil sunucu ağlarına kaydediyor — bir hanenin internet bağlantısını satarak başkasının trafiğinin sıradan bir evden çıkıyormuş gibi görünmesini sağlıyor — ya da çevrimiçi reklam görüntülemelerini sahteleyebiliyordu. Google'a göre Videostrong arka kapıyı, suç ortaklarına erişim satarak ve onların modüllerini ele geçirilmiş cihazlara yükleyerek paraya çevirdi.

Ölçek

Trend Micro'nun kurumsal birimi TrendAI, 3 Haziran ile 1 Ekim arasında 206 modelde 1.472.554 ele geçirilmiş cihaz saydı ve gerçek sayının en az bu kadar olduğunu söylüyor. En çok enfeksiyon Malezya, Brezilya, Irak, Meksika ve Tayvan'da görüldü; ABD, Almanya, Birleşik Krallık, Avustralya ve Kanada'da her biri kabaca 26 bin ile 42 bin arasında. Cihazların çoğu Android TV set üstü kutuydu, ama arka kapı teletıp cihazlarında, karaoke makinelerinde ve dijital tabelalarda da çıktı. Vekil sunucu ağlarını izleyen Synthient, kampanyada görülen 182 model adının listesini yayımladı; ancak tek başına bir model adının cihazın enfekte olduğunu kanıtlamadığı uyarısını da ekledi.

Google komuta-kontrol alan adlarını hukuki yolla kapattı; Japonya Ulusal Polis Teşkilatı, Lumen, HUMAN Security, Plume, Synthient ve TrendAI destek verdi. Aynı suç ortakları zararlı yazılımlarını başka kanallardan da dağıttığı için Google, operasyonun en az 10 milyon ek ele geçirilmiş cihaza giden erişimi de kestiğini tahmin ediyor.

Sahiplerin düzeltemediği kısım

x.cpe firmware'in parçası ve üreticinin anahtarıyla imzalı olduğu için kaldırmak kalıcı olmuyor: yeniden başlatmada geri geliyor. TrendAI'ye göre temizlik için "üretici müdahalesi, platform koruması ya da cihazın değiştirilmesi" gerekiyor. Plume, ortak modüllerin başka arka kapılar bırakmış olabileceği gerekçesiyle tam fabrika ayarına dönmeyi öneriyor, ama bunun x.cpe'yi kaldırıp kaldırmadığını söylemiyor. Synthient daha ileri gidiyor ve tüketicilere kutuları tamamen atmalarını söylüyor.

Google, Videostrong ile bağlarını kesti; şirketi ve gelecekteki tüm bağlı kuruluşlarını sertifikalı Android cihaz üretmek ya da satmaktan ve diğer sertifikalı üreticilere yazılım sağlamaktan men etti. Pazartesi itibarıyla Videostrong'un kendi sitesi hâlâ "Google Certified Android TV Box" ve "Google Certified Android TV Stick" ürünlerini tanıtıyordu.

Sertifikasyondan nasıl geçti

Sertifikalı her Android cihaz uyumluluk ve güvenlik testlerinden geçer. Google'a göre Videostrong kodunu bu süreçteki bir boşluğu kullanmak için sakladı ve zararlı yükü cihazın ilk açılışından sonra yükledi — yani test edilen ürün, müşteriye giden ürün değildi. Google inceleme sürecini değiştirdiğini ve sertifikalı Android TV donanımındaki firmware denetimlerini sıkılaştırdığını söylüyor. Enfekte cihazların ne kadarının sertifikalı olduğunu açıklamadı; Plume ise botnette hem sertifikalı hem de açık kaynak AOSP sürümü çalışan sertifikasız cihazların bulunduğunu belirtiyor.

Asıl can sıkan karşılaştırma şu: Google Temmuz 2025'te BadBox 2.0 botneti nedeniyle dava açtığında işin içindeki 10 milyondan fazla cihaz sertifikasüzdü. Bu kez tedarik zinciri Google'ın kendi mührünü taşıyordu.

Kuruluşlar için pratik tavsiye hiç de gösterişli değil. Synthient'in yayımladığı göstergelerle ağda MECOOL ve benzeri cihazları arayın, bulduklarınızın bağlantısını kesip elden çıkarın, listedeki komuta-kontrol alan adlarını ve IP'lerini engelleyin, tüketici akıllı cihazlarını hassas sistemlerden ayrı bir ağ segmentinde tutun. TrendAI'nin eklediği nokta uzaktan çalışma için önemli: bir çalışanın ev ağındaki yönetilmeyen bir TV box, BT onu hiç duymamış olsa da kurumsal saldırı yüzeyinin parçasıdır.

Kaynaklar