Google'a göre Android partneri Videostrong, içine botnet arka kapısı yerleştirilmiş 1,3 milyon TV kutusu gönderdi

Google, Android cihaz partnerlerinden Shenzhen merkezli Videostrong Technology'nin yaklaşık 1,3 milyon cihaza — çoğu Android TV set-top kutusu — bilerek bir arka kapı yerleştirdiğini ve bu cihazları sessizce bir botnet olarak çalıştırdığını söylüyor. The Verge'in haberine göre Google, botnetin komuta altyapısını çökertti, üreticiyle ilişkisini sonlandırdı ve Videostrong'u sertifikalı Android cihazlar üretmek veya satmak ya da bu cihazlar için yazılım sağlamaktan yasakladı.

Donanıma gömülü bir arka kapı

dev.to'da yayımlanan teknik bir incelemeye göre implant x.cpe adıyla biliniyor ve cihazın donanımında (firmware) üreticinin kendi anahtarıyla imzalanmış sistem düzeyinde bir uygulama olarak çalışıyor. Google'a göre Videostrong gizleme yöntemleri kullandı; böylece kötü amaçlı yük yalnızca cihazın ilk açılışından sonra indiriliyor ve bu da Google'ın uyumluluk ve güvenlik testlerindeki bir boşluktan sıyrılmasını sağlıyordu.

Çalışmaya başladığında arka kapı, Google Play Protect'in uygulama doğrulama kontrollerini kapatabiliyor, sessizce uygulama kurabiliyor, komut çalıştırabiliyor, ekranı kaydedebiliyor, tuş vuruşlarını günlüğe alabiliyor, yerel ağı haritalayabiliyor ve kutuya reverse shell açabiliyordu. Google, operatörlerin canlı ekran görüntüleri aldığını, tuş vuruşları enjekte ettiğini ve hesap bilgileri, cihaz bilgileri, uygulama listeleri ile sistem günlüklerini dışarı sızdırdığını gözlemlediğini söylüyor.

Kiralık erişim üzerine kurulu bir iş modeli

Google'ın temel iddiası, bunun bir kaza olmadığı. The Verge'in aktardığına göre Google, arka kapının ve botnetin maddi kazanç için bilerek geliştirildiğini, dağıtıldığını ve işletildiğini değerlendiriyor: Videostrong, erişimi suç ortaklarına satmış; bu ortaklar da kendi kötü amaçlı yazılım modüllerini enfekte donanıma yüklüyordu. Bu modüller reklam dolandırıcılığı yapıyor, kutuları hane interneti bant genişliğini satan residential proxy ağlarına sessizce dahil ediyor ve daha fazla kötü amaçlı yazılım kuruyordu. dev.to incelemesi, ortakların cihazlara bir düzineden fazla farklı kötü amaçlı yazılım ailesi yüklediğini bildiriyor.

Etki alanı oturma odalarının çok ötesine uzanıyordu. Google, kodun yıllar boyunca birçok cihaz modelinde ve markasında bulunduğunu tespit etti; bunlara Android tabanlı telehealth cihazları, karaoke makineleri ve dijital tabelalar da dahildi. dev.to yazısında Trend Micro'nun kurumsal birimi olarak tanımlanan TrendAI, 3 Haziran ile 1 Ekim arasında 206 modelde toplam 1.472.554 enfekte cihaz saydı ve gerçek rakamın en az bu kadar olduğunu — yani Google'ın 1,3 milyonunun biraz üzerinde olduğunu — söylüyor. Listeye Malezya, Brezilya, Irak, Meksika ve Tayvan öncülük etti; ABD, Almanya, Birleşik Krallık, Avustralya ve Kanada'da ise yaklaşık 26.000 ile 42.000 arası enfeksiyon kaydedildi.

Videostrong aleyhindeki deliller

dev.to analizinde ortaya konan atfı birkaç ipucu destekliyor. Google, x.cpe'nin diğer Videostrong uygulamalarına, aralarında YokaTV Player'ın da bulunduğu ayarları geçirdiğini ve botnet paketlerini barındıran bir GitHub hesabının adının yf-videostrong olduğunu tespit etti. Google ile çalışan Synthient, yüksek güvenle aynı sonuca ulaştı; gerekçeleri arasında, Videostrong'un araştırma ve geliştirme direktörünün imzaladığı bir belgenin botnetin sunucularından birindeki açık bir klasörde bırakılmış olması ve bir Videostrong web alan adının operatörlerin kontrol paneliyle aynı IP adresini paylaşması vardı. Plume, Videostrong'un hem bu cihazların donanımını hem de uzaktan yönetim araçlarını sağladığını ve komuta sunucularıyla iletişim kuran donanımın çoğunun MECOOL markalı olduğunu buldu. Synthient, perakendeden bir MECOOL KM9PRO Max satın aldı ve kutudan çıktığı haliyle arka kapının önceden kurulu olduğunu tespit etti.

Operasyon ve sınırları

Google, operasyonu Japonya Ulusal Polis Teşkilatı, Lumen, HUMAN Security, Plume, Synthient ve TrendAI ile birlikte yürüttü; hukuki yollara başvurarak botnetin alan adlarına ve sunucularına el koydu, ayrıca ortak kötü amaçlı yazılım ailelerinin kontrol alan adlarına da. Bu ortaklar modüllerini başka kanallardan da yaydıkları için Google, operasyonun en az 10 milyon ek compromised cihaza erişimi kestiğini tahmin ediyor; ancak operatörlerin ve müşterilerinin yeni altyapılara hızla geçme eğiliminde olduğu uyarısında bulunuyor.

El koyma işleminin yapmadığı şey ise donanımı temizlemek. x.cpe üretici tarafından imzalı donanımda yaşadığı ve her yeniden başlatmadan sonra kendini yeniden kurduğu için TrendAI, düzeltmenin satıcı eylemi, platform düzeyinde koruma ya da doğrudan cihazın değiştirilmesini gerektirdiğini söylüyor — bu da, satıcının suçlanan operatör olduğu düşünülünce içler acısı bir durum. Synthient'in tüketicilere tavsiyesi kutuları atmak. Google, kendi testlerinin bu planı atladığını kabul ediyor ve inceleme sürecini değiştirdiğini, sertifikalı Android TV cihazlarında donanım kontrollerini güçlendirdiğini söylüyor. Plume, botnetin hem Google sertifikalı cihazları hem de Android Open Source Project çalıştıran donanımları kapsadığına dikkat çekiyor; dev.to incelemesine göre 2 Kasım itibarıyla Videostrong'un web sitesi hâlâ "Google Certified" TV ürünleri tanıtıyordu.

Neden önemli

Google'ın değerlendirmesine göre burada ele geçirilmiş bir tedarik zinciri söz konusu değil — tedarikçinin kendisi operatördü. Bu, bir dizi varsayımı yeniden çerçeveliyor. Bir sertifikasyon rozeti, cihazı test edildiği andaki haliyle tanımlıyor ve Videostrong'un yükünü tam da o andan sonra etkinleşecek şekilde zamanladığı iddia ediliyor. White-label üretim, bir kutunun üzerindeki logonun donanımını kimin yazdığı hakkında pek bir şey söylemediği anlamına geliyor; Synthient de tek başına bir model adının enfeksiyonu ne doğruladığını ne de dışladığı konusunda uyarıyor. Bir milyondan fazla imzalı, kendini yeniden kuran arka kapı evlerde, kliniklerde ve işletmelerde bulunmaya devam ediyor ve Google'ın yasağı yalnızca gelecekteki sertifikalı ürünleri kapsıyor. Son olarak, bu kadar çok kutu residential proxy olarak satıldığı için dolandırıcılık ve scraping trafiği sıradan hanelerden geliyormuş gibi gösterilecek şekilde tasarlandı — bu da savunmacıların temiz bir residential IP adresini meşru bir kullanıcının güçlü kanıtı olarak görmeyi bırakması için bir neden.