Google, TV Kutularına Arka Kapı Koyan Üreticiyi Yasakladı: 1,3 Milyon Cihaz Botnette

Google, Android TV kutularına bilerek arka kapı yerleştirdiğini ve bu erişimi suçlulara sattığını değerlendirdiği Çinli üretici Videostrong'u sertifikalı Android ekosisteminden çıkardı. Google Tehdit İstihbaratı Grubu'nun 2 Kasım 2026'da yayımladığı açıklamaya göre XCPE adlı botnete 1,3 milyondan fazla set üstü kutu bağlıydı.

Ne oldu?

Google, Shenzhen merkezli Videostrong'un arka kapıyı kasıtlı olarak geliştirdiğini, cihazlara yerleştirdiğini ve maddi kazanç için işlettiğini "yüksek güvenle" değerlendirdiğini açıkladı. Şirketin, bu erişimi suç ortaklarına sattığı; bu kişilerin de cihazlara reklam dolandırıcılığı, konut proxy'si (cihazı başkalarının internet trafiği için aracı yapma) ve ek zararlı yazılım modülleri yüklediği belirtildi.

Google'a göre zararlı kod, birden fazla yıl boyunca çok sayıda model ve markaya yerleştirildi. Mevcut modüler hâliyle en az 2024 sonundan beri aktifti. Etkilenen cihazların büyük çoğunluğu Android TV kutuları olsa da tele-sağlık cihazları, karaoke makineleri ve dijital tabelalarda da tespit edildi.

Arka kapı neler yapabiliyordu?

The Hacker News'ün aktardığına göre "x.cpe" adlı arka kapı sistem uygulaması olarak çalışıyor ve sistem düzeyinde yetkiye sahip. Bu sayede:

• Komuta sunucularına bağlanabiliyor,
• Google Play Protect denetimlerini devre dışı bırakabiliyor,
• Kullanıcıya fark ettirmeden uygulama yükleyebiliyordu.

Saldırganların ekran görüntüsü aldığı, tuş vuruşu gönderdiği ve hesap bilgilerini kopyaladığı da gözlendi. Güvenlik şirketi TrendAI, 206 modelde 1.472.554 enfekte cihaz saydı. En çok enfeksiyon Malezya, Brezilya, Irak, Meksika ve Tayvan'da görüldü.

Hangi markalar etkilendi?

Videostrong, cihazları hem kendi adıyla hem de başka markalar için üretiyor. Güvenlik araştırma şirketi Synthient'in raporu, Videostrong ile ilişkilendirdiği MECOOL markalı kutulara odaklanıyor. Synthient araştırmacısı, satın aldığı bir MECOOL KM9PRO Max cihazında arka kapının önceden yüklü olduğunu tespit etti.

Google ne yaptı?

• Botneti yöneten alan adları ve sunuculara karşı hukuki süreç başlattı; bir düzineden fazla zararlı yazılım ailesinin komuta alan adlarını da hedef aldı.
• Videostrong'u ve gelecekteki iştiraklerini sertifikalı Android cihaz üretmekten, sertifikalı üreticilere yazılım sağlamaktan ve Google uygulamalarını önceden yüklemekten men etti.
• Üretici inceleme sürecini değiştirdi ve sertifikalı Android TV cihazlarında yazılım bütünlüğü denetimlerini güçlendirdi.

Google, bu adımlarla en az 10 milyon ek enfekte cihaza erişimin de kesileceğini öngörüyor. Şirket açıklamasında "Bir cihaz üreticisinin kullanıcılarına bilerek zararlı yazılım bulaştırması kabul edilemez bir güven ihlalidir" ifadesini kullandı.

Kullanıcılar ne yapmalı?

The Hacker News'e göre arka kapı yeniden başlatmadan sonra kendini tekrar yüklüyor ve kullanıcı tarafından kaldırılamıyor. Synthient bu cihazların kullanılmamasını öneriyor; fabrika ayarlarına dönmenin arka kapıyı temizleyip temizlemediği ise doğrulanmış değil. Google'ın önerileri şöyle:

• TV kutusu gibi bağlı cihazları yalnızca güvenilir üreticilerden alın ve Google'ın sertifikalı Android TV ortakları listesini kontrol edin.
• "Kullanılmayan internetinizi paylaşın, para kazanın" vaat eden uygulamalara karşı dikkatli olun.
• Güvenilir uygulama mağazalarını kullanın ve Google Play Protect'i açık tutun.

Google, Videostrong'un cihazların ilk açılışından sonra kötü amaçlı kodu yükleyen gizleme yöntemleri kullanarak uyumluluk ve güvenlik testlerini atlattığını da kabul etti. Operasyonda Japonya Ulusal Polis Ajansı, Lumen, HUMAN Security, Plume, Synthient ve TrendAI ile iş birliği yapıldı.

Türkiye için anlamı

Ucuz Android TV kutuları Türkiye'de de yaygın olarak satılıyor. Evinizde markasını tam bilmediğiniz bir kutu varsa, modelin Google'ın sertifikalı listesinde olup olmadığını kontrol etmek ve şüpheli durumda cihazı ağdan ayırmak riski azaltmanın en basit yolu.