Google ve ortakları, 1,3 milyon set-top box'ı botnet'e dahil eden XCPE firmware arka kapısını çökertti

Google'ın Tehdit İstihbarat Ekibi, 2 Kasım 2026'da Google ve bir grup sektör ortağının, 1,3 milyondan fazla Android set-top box'ın firmware'ine önceden yüklenmiş halde gelen XCPE arka kapısını çökerttiğini duyurdu. Google'ın "Shutting the Door on the XCPE Botnet" yazısının dev.to'daki özetine göre şirket, kötü amaçlı yazılımın yüksek güvenle, yıllar boyunca birçok cihaz modeli ve markası altında donanım pazarlayan Android ODM/OEM üreticisi Videostrong Technology tarafından kâr amacıyla geliştirildiği, yayıldığı ve işletildiği değerlendirmesinde.

Kaldırılsa bile hayatta kalan bir arka kapı

Kötü amaçlı yazılım, bazı sürümlerde x.cpe, bazılarında com.oemService adıyla sistem bölümüne yerleştirilen ve android.uid.system ayrıcalıklarıyla çalışan bir stub paketi olarak başlıyor. Açılışta oem dizinini kontrol ediyor, /data/app içine bir paket kuruyor ve kullanıcı kaldırdığında kendini yeniden kuruyor. Dev.to makalesinin de belirttiği gibi bunun sonucu, cihazın kendi ayarlar ekranının kutunun enfekte olup olmadığını göstermesi konusunda güvenilir olmaması.

Ek modüllerin çalıştırılması com.abc.nexus adlı bir loader'a devredilmiş; bu loader, sandbox analizinden kaçmak için native araçlar içeriyor ve para kazanma bileşenlerini yapılandırıyor. Google'ın tespitine göre Ağustos 2026'dan itibaren loader aşamalı olarak kaldırılmış ve her biri aynı komut kanalı üzerinden tek bir modül kuran özel dropper'lar tercih edilmiş. Modüllerin kendileri native ELF daemon'ları, loader'ın bytecode'una derlenmiş SDK'lar ya da uzaktan indirilen ikincil APK'lar olarak geliyor; staging dosyalarının büyük çoğunluğu operatörlerin işlettiği GitHub sayfalarında GitHub release olarak barındırılıyor.

MQTT üzerinden komut ve kontrol

Kontrol kanalı iki adımda çalışıyor. Enfekte cihaz önce donanım telemetrisi, seri numarası, MAC adresi, model ve firmware sürümünü içeren AES ile şifrelenmiş bir JSON yükünü, adı cihazın Android sürümü ve türünden türetilen bir host'a HTTP POST olarak gönderiyor. Yanıt MQTT broker ayrıntılarını döndürüyor: hostname, port, bir kimlik doğrulama token'ı ve /device/{model}/{chipId}/{action} biçiminde bir topic yapısı. O andan itibaren kutu, tüketici donanımına çok uygun hafif bir publish-subscribe protokolü kullanan kalıcı bir MQTT oturumu tutuyor. Şimdiye kadar analiz edilen tüm örnekler tek bir broker hostname'ini, mqtt.szbboys[.]com adresini gösteriyor. Aynı bootstrap yanıtı ayrıca NAT geçişi için geolocation ve STUN parametrelerini, loglar ve tanılama için bir dosya yükleme URL'ini ve tekil reklam modüllerine ilişkin anahtarları da döndürüyor.

Ortaklarına kiraya verilen bir platform

Dev.to'da aktarılan Google bulgularına göre Videostrong enfekte cihazlara erişim satmış ve suç ortakları kendi iş modellerini getirmiş. İsimlendirilen bileşenler arasında residential proxy SDK'ları Linkfog, AppSalt ile NetSalt alternatifleri AppSalt ve NetNut, reklam sahtekarlığı motorları CBOXTV ve HiddenView ile Moyu ve Spirit adlı ek arka kapılar yer alıyor. AppSalt, Oxylabs'ın sahibi olduğu Honeygain'e ait — böyle modüllerin arkasındaki kurumsal yapıların ne kadar sıradan görünebileceğinin bir hatırlatması. Google, tek cihazlarda aynı anda üç residential proxy SDK'sının çalıştığını gözlemlemiş; bu da bir ev veya ofis IP adresini başkasının trafiği için bir çıkış noktasına dönüştürüyor ve itibar sonuçlarını sahibi üstleniyor.

Çökertme operasyonu

Operasyon, kontrol alan adlarını kesti ve düzineden fazla affiliate kötü amaçlı yazılım ailesinin kullandığı komut sunucularını devre dışı bıraktı. Google ayrıca Videostrong ile ilişkisini sonlandırdı ve şirketi, Google uygulamaları önceden yüklü sertifikalı Android cihazlarından men etti; operasyonun en az 10 milyon ek enfekte cihaza erişimi kestiğini değerlendiriyor. Google'ın yanında anılan ortaklar arasında Japonya Ulusal Polis Teşkilatı, Lumen, HUMAN Security, Plume, Synthient ve TrendAI yer alıyor.

Kodun sertifikalı donanıma nasıl ulaştığına dair Google'ın kendi anlatımı, alıcıların üzerinde düşünmesi gereken ayrıntı: üreticinin Android'in uyumluluk ve güvenlik testlerindeki bir boşluğu sömürmek için obfuscation kullandığı ve kötü amaçlı kodu cihazın ilk açılışından sonra yüklediği bildiriliyor. Sertifikasyon yalnızca test edilen durumu kapsıyordu ve inceleme süreçleri o zamandan beri değişti.

Neden önemli

Bu, tüketici donanımına yönelik bilinen en büyük ihlallerden biri ve iddiaya göre dışarıdan bir saldırgan değil, üreticinin kendisi tarafından gerçekleştirildi. Cihaz sertifikasyonundaki yapısal bir zayıflığı ortaya koyuyor: testler bir anlık görüntüyü doğrularken, üretici sonradan kod yükleme yeteneğini elinde tutuyor. Aşağıdaki tespit rehberi egress odaklı — bunları tutmasında hiçbir mantık olmayan cihazlarda uzun ömürlü MQTT oturumlarını işaretleyin ve operatör tarafından işletilen depolardan yapılan indirmeleri izleyin. Arka kapı nadiren envantere giren kutuların firmware bölümünde yaşadığı için uzaktan yamalanamaz; kökeni belirsiz Android TV donanımı çalıştıran herkes, bu cihazlar değiştirilene kadar güvenilmez olarak görmeli.