1,3 milyon set üstü kutu botneti: Google, Videostrong'un sertifikalı cihaz üretmesini engelliyor

Google, 1,3 milyondan fazla set üstü kutuyu botnet ağına dahil eden XCPE kötü amaçlı yazılımının kontrol altyapısını devre dışı bıraktı ve üretici Videostrong ile bağını kesti. Şirket, Videostrong'un ve bağlı ortaklıklarıyla iştiraklerinin sertifikalı Android cihaz üretip satmasını veya sertifikalı başka üreticilere yazılım sağlamasını engelleyecek.

Google, 2 Kasım'da yayımladığı tehdit analizinde XCPE'nin kontrol alan adları ve sunucularına karşı yasal işlem başlattığını açıkladı. Bu adım, tek tek cihazlardaki zararlı yazılımın kaldırıldığı anlamına gelmiyor.

Google, Videostrong'un maddi kazanç sağlamak amacıyla arka kapıyı geliştirdiğini, dağıttığını ve işlettiğini yüksek güvenle değerlendirdi. Bu, Google'ın değerlendirmesi; mahkemenin kesinleşmiş bir kararı değil.

Arka kapı, cihazlar tüketicilere satılmadan önce yazılımlarına yerleştirildi. Google, kötü amaçlı kodun güvenlik denetimlerinden kaçıp ilk açılıştan sonra işlevlerini yükleyecek şekilde tasarlandığını belirtti.

Enfeksiyonlar çoğunlukla Android TV set üstü kutularında görüldü. Google, uzaktan sağlık hizmetlerinde kullanılan cihazlar, karaoke sistemleri ve dijital reklam panoları gibi Android tabanlı başka ürünlerde de kötü amaçlı yazılım tespit etti. Şirket, tüm Android TV ürünlerinin etkilenmediğini vurguladı.

TrendAI, 3 Haziran-1 Ekim 2026 arasında 170'ten fazla ülkede 1.472.554 enfekte cihaz ve 206 cihaz modeli gözlemlediğini teknik analizinde bildirdi. Google'ın 1,3 milyondan fazla cihaz tahminiyle TrendAI'nin verileri farklı araştırma kapsamlarına ve sayım ölçütlerine dayanıyor.

TrendAI, gözlemlediği cihazların yaklaşık 1,33 milyonunun konut tipi proxy ve reklam sahtekarlığı modüllerinin dağıtımında kullanılmak üzere belirlendiğini açıkladı. Veri toplamanın aralıklı gerçekleştiğini belirten şirket, gözlemlenen sayının gerçek enfeksiyon büyüklüğü için alt sınır olduğunu kaydetti.

TrendAI aynı dönemde konut tipi proxy'lere ait 3.849.226 çıkış IP adresi kaydetti. Günlük sağlanan IP adresi sayısı ortalama 182.025, en yüksek 366.562 oldu. IP adresi sayısı, enfekte cihaz veya mağdur sayısından farklı bir ölçüt.

‘x.cpe’ adlı kötü amaçlı yazılım, MQTT üzerinden uzak sunucudan komut alarak uygulama yükleyip silebiliyor ve cihaz ayarlarını değiştirebiliyordu. Bu işlevler, kullanıcıların haberi olmadan cihazların uzaktan kontrol edilmesine imkan tanıyordu.

Google, enfekte cihazların reklam sahtekarlığı ve konut tipi proxy hizmetlerinde kullanıldığını bildirdi. Konut tipi proxy, ev internet bağlantısını üçüncü tarafların iletişimini yönlendirmek için kullanıyor. Bu nedenle set üstü kutu olağan biçimde çalışıyor görünse bile internet bağlantısı başka iletişimler için kullanılabiliyor.

Google ayrıca XCPE'den ayrı bir iş ortağı kötü amaçlı yazılım ailesinin kontrol alan adlarını da devre dışı bıraktı. Şirket, bu işlemin en az 10 milyon cihaza erişimi keseceğini değerlendirdi. Bu sayı, XCPE botnetine dahil edilen 1,3 milyon set üstü kutuya eklenebilecek bir enfekte cihaz toplamı değil.

Kontrol ağının devre dışı bırakılması, cihazlara yüklenmiş arka kapıyı kendiliğinden kaldırmıyor. TrendAI, arka kapının üretici imzasıyla yüklenmiş bir sistem uygulamasına dahil olduğunu ve kullanıcıların bunu kendi başlarına silemediğini belirtti.

TrendAI, cihazların temizlenmesi için üretici müdahalesi, platform düzeyinde koruma veya cihaz değişiminin gerekebileceğini değerlendirdi. Kontrol altyapısını devre dışı bırakmak ile tek tek cihazların yazılımlarına müdahale etmek farklı aşamalar.

Google, Japonya Ulusal Polis Ajansı (National Police Agency) ile çeşitli güvenlik şirketlerinin analiz ve engelleme çalışmalarına katıldığını açıkladı. Şirket, sertifikalı Android TV cihazlarının yazılım bütünlüğünü doğrulama sürecini de iyileştirdiğini bildirdi.