Google, 1,3 milyon Android cihazdaki arka kapı nedeniyle Videostrong'u engelledi

x.cpe nasıl çalışıyordu

Uzaktan kontrol imkânı veren x.cpe, cihazlarda üretim aşamasından itibaren bulunuyordu. Google'ın sertifikasyon sırasındaki güvenlik testlerini aşmak için kötü amaçlı kodu cihazın ilk açılışından sonra yüklüyordu. Kullanıcı silse bile yeniden başlatmada tekrar kuruluyor, Google Play Protect'i de devre dışı bırakabiliyordu. Videostrong bu yazılımla XCPE adlı bir botnet kurdu.

Saldırganlar ekran görüntüsü alabiliyor, tuş komutları gönderebiliyor; hesap bilgileri ve sistem günlükleri dışarı aktarılıyordu. Videostrong arka kapıya erişimi suç faaliyetlerindeki üçüncü taraflara satıyor, bu taraflar da kendi yazılımlarını uzaktan yüklüyordu. En yaygın kullanım, kullanıcının haberi olmadan ev internet bağlantısını başkalarının trafiği için aktaran “konut proxy'si” oldu; tek bir cihazda en fazla üç proxy yazılımı bulunan örnekler vardı. Reklam gösterimlerini şişiren dolandırıcılık ve ek zararlı yazılım kurulumları da tespit edildi.

Botnete müdahale

Google, Ekim ayının son haftasında Japonya Ulusal Polis Teşkilatı, Lumen, HUMAN Security, Plume, Synthient ve TrendAI ile birlikte XCPE'nin operasyonunu engelledi. Botneti yönetmek ve kötü yazılım dağıtmak için kullanılan sunucular ve alan adlarının yanı sıra sonradan eklenen zararlı yazılımlara komut gönderen alan adları için de hukuki adımlar atıldı.

Bu yazılımlar başka yollarla da yayıldığından Google, hamlenin farklı kanaldan enfekte olmuş en az 10 milyon cihazda saldırgan erişimini keseceğini tahmin ediyor. Şirket ayrıca inceleme sürecini gözden geçirip onaylı Android TV cihazlarının donanım yazılımında zararlı kod taramasını güçlendireceğini söyledi.