Google ve Ortakları 1,3 Milyon Android TV Kutusuna Önceden Yüklenmiş XCPE Botnetini Çökertti

Ne oldu

Kasım 2026'da Google, bir grup güvenlik şirketi ve Japonya Ulusal Polis Teşkilatı ile birlikte çalışarak dünyanın dört bir yanındaki 1,3 milyondan fazla Android TV set üstü kutusundan oluşturulmuş XCPE botnetini çökerttiğini duyurdu. Google'ın Threat Intelligence Group'una (GTIG) atıfta bulunan bir dev.to analizine göre botnet, bir Android cihaz üreticisi olan Videostrong Technology Co. ile bağlantılıydı.

Dikkat çekici olan kısım ölçek değil, enfeksiyon yoluydu. Kimsenin oltalama bağlantısına tıklamasına veya şüpheli bir uygulama kurmasına gerek yoktu: kötü amaçlı işlevsellik, ürünler sahiplerine ulaşmadan önce içlerine gömülmüştü.

Ele geçirilen kutular nasıl kullanıldı

Enfekte bir kutu çevrimiçi olduğunda uzaktaki altyapıyla iletişim kuruyor ve ek kötü amaçlı modüller indirebiliyordu. dev.to yazısında aktarıldığı üzere GTIG, operatörlerin bu filoyu para kazanmak için dört şekilde kullandığını tespit etti:

• Residential proxying: cihazların ev bağlantıları ve IP adresleri sessizce üçüncü taraflara sunuldu ve trafiğin sıradan hanelerden geliyormuş gibi görünmesi sağlandı.
• Reklam dolandırıcılığı: kutular, sahte reklam geliri üreten düzeneklere katıldı.
• Kötü amaçlı yazılım dağıtımı: ele geçirilen birimler ek yükler (payload) alabiliyordu.
• Uzaktan erişim: operatörler enfekte cihazlarla etkileşim kurma yeteneğini ellerinde tuttu.

Residential proxy'ler doğaları gereği suç değil — bölgesel testlerde ve pazar araştırmalarında meşru kullanımları vardır — ancak sahibinin rızası olmadan sisteme dahil edilmesi, oturma odasındaki bir cihazı kiralanabilir suç altyapısına dönüştürür. Enfekte bir kutu, bant genişliği yeniden satılırken normal şekilde yayın yapmaya devam edebilir ve olağandışı ağ kullanımının ötesinde bariz bir belirti bırakmaz.

Bir kullanıcı hatası değil, tedarik zinciri sorunu

Standart uç nokta önerileri — yamaları zamanında yükleyin, antivirüs çalıştırın, ne indirdiğinize dikkat edin — cihazın temiz başladığını varsayar. XCPE bu varsayımı geçersiz kılıyor. dev.to yazısı bunu bir tedarik zinciri başarısızlığı olarak çerçeveliyor: bir üretici firmware derlemesini, önceden yüklenmiş uygulamaları, imzalama ve güncelleme mekanizmalarını, paket içindeki SDK'ları ve sertifikalandırmayı kontrol eder ve bu aşamaların herhangi birinde yerleştirilen kötü amaçlı kod, güvenilir bir başlangıç noktası varsayan önlemlerden daha uzun ömürlü olabilir. Temeldeki güncelleme yolu ele geçirilmişse, tanıdık Android markası hiçbir garanti sunmaz.

Oturma odasının ötesinde

dev.to yazısına göre Google'ın soruşturması aynı kötü amaçlı yazılımı telehealth ekipmanları, karaoke makineleri ve dijital tabela sistemleri dahil diğer Android tabanlı ürünlerde de tespit etti. Bu durum kurumlar için önemli: kurumsal veya sağlık ağına bağlı enfekte bir IoT cihazı bir sıçrama tahtası haline gelir ve zayıf ağ segmentasyonu durumu daha da kötüleştirir. Çıkarılacak ders, IoT güvenliğinin izole bir uç nokta sorunu olarak değil, daha geniş ağ güvenliği stratejisinin bir parçası olarak ele alınması gerektiğidir.

Çökertme operasyonu

Google operasyonu Plume, Trend Micro, Lumen, HUMAN Security, Synthient ve Japonya Ulusal Polis Teşkilatı ile koordine etti. Videostrong'un kötü amaçlı yazılımı kontrol etmek ve yeni modüller dağıtmak için kullandığı alan adlarına ve sunuculara karşı hukuki işlem başlattı ve ayrıca suç ortakları tarafından işletilen komuta-kontrol altyapısının peşine düştü. Google'ın değerlendirmesine göre bu sistemlerin kesilmesi, operatörlerin en az 10 milyon ek ele geçirilmiş cihaza erişimini kesebilir.

Yazıda akılda tutulmaya değer bir uyarı da var: altyapı çökertme operasyonları hiçbir şey kaldırmaz. Cihazlar, operatörleri kontrolü kaybettikten sonra bile kötü amaçlı bileşenler taşıymaya devam edebilir; bu yüzden operasyon ve uç nokta iyileştirmesi birlikte yürütülmelidir — ve fabrika ayarlarına sıfırlamanın firmware veya sistem düzeyindeki kötü amaçlı yazılımı kaldıracağı varsayılmamalıdır.

Pratik çıkarımlar

Bireyler için öneri, şeffaf güvenlik uygulamalarına sahip üreticilerden satın almak, satın almadan önce bir modelin bilinen sorunlarını araştırmak, firmware'i güncel tutmak, güvenilmeyen cihazları hassas sistemler barındıran ağlardan uzak tutmak ve beklenmedik bant genişliği tüketimine dikkat etmektir. Kurumlar için liste şunları içeriyor: bağlı cihazların envanterini tutmak, güvenilmeyen donanımı izole etmek için ağları segmentlere ayırmak, giden trafiği izlemek, satıcıların firmware ve güncelleme politikalarını denetlemek ve ele geçirilmiş IoT donanımı için olay müdahale prosedürleri hazırlamak.

Neden önemli

XCPE, bağlı donanım için güven zincirinin artık ta üretim hattına kadar uzandığını gösteriyor. Kötü amaçlı yazılım önceden yüklenmiş olarak geldiğinde, alışılmış tüketici savunmaları büyük ölçüde başarısız oluyor ve bir hanenin IP adresi sessizce bir meta haline geliyor. 1,3 milyon kutunun sisteme dahil edilmiş olması ve Google'ın çökertme operasyonunun en az 10 milyon cihaza daha erişimi kestiğini tahmin etmesiyle bu, kayıtlardaki en büyük tedarik zinciri IoT olayları arasında yer alıyor — ve bir cihazın firmware'ini kimin yaptığının ve gerçekten güncellenip güncellenemeyeceğinin sorulmasının artık herhangi bir bağlı cihazı satın almanın bir parçası olduğunun bir hatırlatıcısı.