Ucuz bir yayın kutusuna şüpheyle bakan herkesi kesinlikle şaşırtmayacak bir gelişmeyle Google, Android üreticisi ortaklarından birinin gizlice 1,3 milyon cihaza arka kapı yerleştirdiğini ve bunları botnete dönüştürdüğünü doğruladı. Şirket, arka kapıyı artık söküp attığını ve Çin'in Shenzhen kentinde bulunan üretici Videostrong Technology Co. ile "bağlarını kopardığını" açıkladı. Videostrong, artık sertifikalı Android cihaz üretemeyecek, satamayacak veya bu cihazlar için yazılım tedarik edemeyecek.

Enfekte cihazlar, sahiplerinin haberi olmadan "kötü niyetli faaliyetler" için kullanıldı: reklam sahtekarlığı, veri sızdırma ve yetkisiz ağ trafiği yönlendirme. Google, "arka kapı ve botnetin kasıtlı olarak finansal kazanç için geliştirildiğini, dağıtıldığını ve işletildiğini" iddia ediyor. Şok olduk, biliyoruz. Şirket yaptığı açıklamada, Videostrong'un arka kapıyı suç ortaklarına erişim satarak ve bu ortakların kötü amaçlı yazılım modüllerini enfekte cihazlara yükleyerek paraya çevirdiğini açıkladı. Bu ikincil modüller reklam sahtekarlığı yaptı, enfekte cihazları sessizce konut vekil sunucu ağlarına kaydetti ve XCPE ile ele geçirilmiş cihazlara ek kötü amaçlı yazılım yükledi.

Google ayrıca bu ortak modülleri işleten komuta ve kontrol (C2) alan adlarını dağıtmak için harekete geçti. Ortakların her birinin XCPE dışında çeşitlendirilmiş dağıtım kanalları olduğundan Google, onların C2 alan adlarını kaldırmanın en az 10 milyon ek ele geçirilmiş cihaza erişimi keseceğini değerlendiriyor. Yani bir teselli: sadece 10 milyon cihaz daha bu eğlenceye dahilmiş.

Etkilenen sadece tek bir cihaz modeli de değildi - kötü amaçlı yazılım "yıllar boyunca birçok farklı cihaz modeline ve markasına doğrudan yerleştirilmiş" olarak bulundu. Çoğu Android TV set üstü kutusuydu, ancak botnet diğer "Android tabanlı IoT cihazlarını da, telesağlık cihazları, karaoke makineleri ve dijital tabela cihazları dahil" enfekte etti. Çünkü "güvenilir tıbbi ekipman" denince akla bir yanında reklam sahtekarlığı gelir.

Google, Videostrong'un kullanıcıların cihazları ilk kez açmasından sonra kötü amaçlı yazılımı yüklemek için "gizleme teknikleri" kullandığını söylüyor. Şirket ayrıca bu olaydan sonra cihaz üreticileri için inceleme sürecinde değişiklikler yaptığını belirtiyor - muhtemelen daha az göz kırpma ve daha fazla gerçek kontrol içeren değişiklikler.