Fabrika üretim bandında sistem yazılımına doğrudan arka kapı yerleştirilen 1 milyon 472 bin 554 adet Android televizyon kutusu, siber suç şebekelerinin kontrolüne geçti.
Çin merkezli Videostrong Technology şirketinin geliştirdiği XCPE adlı truva atı, kullanıcıların ev internetini gizlice satıp aygıtları devasa bir botnet ağına dönüştürdü.
Türkiye'de 32 bin 532 cihazın bu zararlı yazılımdan etkilendiği belirlenirken, ülkemiz küresel ölçekte en çok mağduriyet yaşayan 11. pazar olarak kayıtlara geçti.
Güvenlik incelemelerinde MECOOL markalı bazı modellerin ülkemizde NEXT firması tarafından dağıtıldığı tespit edildi.
Teknik analizler, tehlikenin yalnızca televizyon kutularıyla sınırlı kalmadığını ve farklı akıllı cihazlara da sıçradığını ortaya koydu.
SİSTEM ÇEKİRDEĞİNE GİZLENEN TEHLİKELİ ARKA KAPI
Google Tehdit Analiz Grubu tarafından yürütülen geniş çaplı teknik araştırmada, televizyon kutularının yazılımına fabrikada gömülen tehlikeli bir arka kapı deşifre edildi.
Orijinal donanım üreticisi (OEM) ve tasarım geliştiricisi (ODM) kimliğiyle faaliyet yürüten Videostrong, hazırladığı Android sistem yazılımlarını çok sayıda farklı markaya tedarik etti.
Google analizleri, Çinli üreticinin bu arka kapıyı sisteme kasten entegre ettiğini ve cihaz erişimlerini üçüncü taraf suç şebekelerine satıp haksız kazanç sağladığını yüksek güven düzeyiyle belirledi.
Zararlı yazılım, sonradan yüklenen masum bir aplikasyon kisvesiyle değil, doğrudan fabrikada kurulan sistem yazılımının bir parçası olarak dağıtıldı.
İşletim sisteminde en yüksek yetki derecesi olan android.uid.system seviyesinde çalışan x.cpe veya com.oemservice adlı paket, cihazın korumalı /oem/ bölümüne gizlendi.
Kullanıcıların standart yollarla silemediği bu zararlı bileşen, aygıt sıfırlansa veya yeniden başlatılsa bile korumalı alandan kendisini otomatik olarak tekrar yükledi.
Güvenlik güncellemesi almayan eski kameralar, siber saldırganların ağına düşüyor
GOOGLE GÜVENLİK KALKANINI AŞAN ÇOK KATMANLI SALDIRI
Saldırının ikinci evresinde com.abc.nexus isimli sistem bileşeni devreye girerek uzaktaki komuta merkezinden ilave zararlı modülleri cihaza indirdi.
Siber korsanlar Ağustos 2026 tarihinden itibaren taktik değiştirerek Nexus yerine doğrudan Android sistem uygulamalarını taklit eden yeni paketler kullanmaya başladı.
Geliştirilen bu truva atı, Google Play Protect sisteminin güvenlik denetimlerini devre dışı bırakıp kullanıcıdan hiçbir onay almadan sisteme yeni uygulamalar yükledi.
Güvenlik analizi araçlarını engelleyen teknik mekanizmalarla korunan kutular, internete bağlandığı ilk andan itibaren MQTT mesajlaşma protokolü üzerinden uzaktaki sunucularla temas kurdu.
Merkezden gönderilen anlık talimatlarla korsanların cihazlar üzerinde gerçekleştirdiği casusluk faaliyetleri şu şekilde sıralandı:
— Canlı Ekran Takibi: Kullanıcıların televizyonda yaptığı tüm işlemler anlık ekran görüntüleriyle kaydedildi.
— Tuş Vuruşu Enjeksiyonu: Uzaktan gönderilen sanal tuş komutlarıyla cihazlar kullanıcı müdahalesi olmadan yönetildi.
— Hassas Veri Hırsızlığı: Hesap kimlikleri, cihaz tanımlayıcı numaraları, yüklü uygulama listeleri ve sistem günlükleri harici sunuculara aktarıldı.
— Komut Satırı Erişimi: Cihazlara ters kabuk bağlantıları kurularak en derin sistem dizinlerine doğrudan erişim sağlandı.
EV İNTERNETİNİ PROXY VE REKLAM AĞINA ÇEVİRDİLER
Enfekte edilen aygıtlar yalnızca kişisel veri sızdırmakla kalmayıp hanelerin internet hatlarını yabancı şahıslara kiralayan konut tipi proxy altyapısına bağlandı.
Bu siber mekanizma sayesinde dünyanın öbür ucundaki şüpheli kişiler, kendi bağlantılarını gizleyip doğrudan tüketicinin evindeki yerel IP adresi üzerinden internete çıktı.
Gerçek bir ev interneti aboneliği gibi görünen bu yönlendirilmiş trafik; güvenlik bariyerlerini aşmada, sahte hesap oluşturmada ve organize dijital dolandırıcılıklarda kullanıldı.
Siber saldırganlar ayrıca sisteme gömdükleri HiddenView ve CBOXTV gibi bileşenler üzerinden görünmez reklam pencereleri açarak sahte etkileşim trafiği üretti.
İnternet bant genişliğini ticari ve yasa dışı amaçlarla tüketen LinkFog, AppSalt, NetNut ve GaGaNode gibi modüller kullanıcıların rızası dışında çalıştırıldı.
Normal şartlarda kullanıcıların boşta kalan internetini paylaşıp gelir elde etmesini sağlayan bazı ticari servislerin yazılımları da bu hırsızlık ağına dahil edildi.
DÜNYA ÇAPINDA 170 ÜLKEYE YAYILAN CASUS ŞEBEKE
TrendAI ekiplerinin 3 Haziran ile 1 Ekim 2026 tarihleri arasında yürüttüğü teknik ölçümler, Haziran-Ekim 2026 döneminde 206 farklı modelde toplam 1 milyon 472 bin 554 cihazın ağa bağlandığını kanıtladı.
İncelenen televizyon kutularının yaklaşık 1 milyon 330 bin adedine aktif olarak proxy ve reklam sahtekarlığı görevleri atandığı belirlendi.
Soruşturma süresince komuta ağında 3 milyon 849 bin 226 farklı konut ve mobil IP adresi tespit edildi.
Şebekede günlük ortalama 182 bin 25 aktif IP adresi gözlenirken, tek bir gündeki en yüksek trafik 366 bin 562 adrese ulaştı.
Korsanların kontrol merkezinde 2 milyar 360 milyonu aşkın komut ve mesaj kaydının depolandığı anlaşıldı.
Zararlı yazılımın 170'ten fazla ülkeye yayılan küresel etki haritası resmi kayıtlarda şu verilerle özetlendi:
— En Çok Etkilenen Ülkeler: Malezya, Brezilya, Irak, Meksika ve Tayvan vaka sayısında başı çekti.
— Batı Ülkeleri: ABD, Almanya, Birleşik Krallık, Avustralya ve Kanada'da ülke başına 26 bin ile 42 bin arasında enfekte cihaz saptandı.
— Türkiye Tablosu: Türkiye, tespit edilen 32 bin 532 virüslü cihazla küresel risk sıralamasında 11. basamakta yer aldı.
MECOOL VE NEXT BAĞLANTISINDAKİ TEKNİK BULGULAR
Araştırmanın Türkiye ayağında MECOOL markasına ait cihazlar kritik bir odak noktası haline geldi.
Siber güvenlik kuruluşu Synthient, 2025 yılı sonunda piyasadan temin ettiği MECOOL KM9PRO Max modelinde com.oemservice arka kapısını doğrudan tespit etti.
Skyworth Digital Technology tarafından dijital olarak imzalanan yazılımın, cihaz açılır açılmaz uzak sunuculara kimlik verisi gönderdiği belgelendi.
Videostrong izini süren araştırmacılar, zararlı kodların dağıtıldığı sunucularda şirketin ar-ge yöneticisine ait imzalı bir dokümana ulaştı.
Şirkete ait bir web alan adının korsanların komuta merkeziyle birebir aynı IP adresini paylaştığı ve şirket e-postalarının yazılımları imzalamada kullanıldığı somutlaştı.
Synthient tarafından riskli ilan edilen 182 model arasında KM2, KM2PLUS, KM6, KM9PRO, KM9PRO_MAX ve KT1 gibi MECOOL serisi ürünler yer aldı.
Güvenlik uzmanları, bu listede bir model isminin geçmesinin o isim altında üretilen bütün cihazların virüslü olduğunu tek başına kanıtlamadığını özellikle hatırlattı.
Türkiye pazarında MECOOL markasının resmi distribütörü konumundaki NEXT, KM2, KM2 Plus ve KM6 Deluxe modellerini resmi kanallardan tüketiciye sundu.
NEXT firması kendi internet sitesindeki ürün tanıtımlarında markanın Türkiye'deki tek yetkili distribütörü olduğunu açıkça ilan etti.
Bununla birlikte, Türkiye'de satılan NEXT etiketli cihazların sistem yazılımlarında XCPE arka kapısının yer aldığına dair bağımsız bir laboratuvar doğrulaması henüz bulunmuyor.
Sosyal medya mecralarında Hiremco modellerinin de aynı üretim hattından çıktığı iddia edilse de resmi raporlarda bu markaya dair doğrulanmış bir eşleşmeye rastlanmadı.
Çaldıkları iPhone telefonların iCloud şifrelerini meğer böyle ele geçiriyorlarmış
RESMİ SERTİFİKALI CİHAZLARDA GİZLENEN KOD TUZAĞI
Küresel skandalın en sarsıcı boyutunu, virüs taşıyan aygıtların önemli bir bölümünün resmi Google sertifikasına sahip olması oluşturdu.
Videostrong mühendisleri, geliştirdikleri karmaşık kod gizleme yöntemleriyle zararlı yazılımları Google laboratuvarlarının uyumluluk testlerinden kaçırmayı başardı.
Saldırgan modüller cihazın ilk kurulumundan ve fabrikadaki kontrollerden sonra internet üzerinden çekildiği için geleneksel güvenlik testleri yetersiz kaldı.
Zararlı yazılımın yalnızca televizyon kutularına değil; uzaktan sağlık cihazlarına, karaoke aygıtlarına, Android projektörlere ve dijital reklam tabelalarına da bulaştığı anlaşıldı.
Yaşanan büyük güvenlik zafiyetinin ardından sertifikasyon kurallarını baştan aşağı yenileyen Google, Videostrong Technology ile bütün ticari ortaklığını feshetti.
Alınan resmi yaptırım kararıyla Videostrong firmasının ve gelecekte kuracağı muhtemel iştiraklerin Google sertifikalı ürün üretmesi, pazarlaması veya başka üreticilere yazılım satması tamamen yasaklandı.
ULUSLARARASI SİBER OPERASYON VE HAYATİ GÜVENLİK ÖNLEMLERİ
Ekim 2026 son günlerinde düğmeye basılan uluslararası operasyonda Google; Japonya Ulusal Polis Ajansı, Lumen, HUMAN Security, Plume, Synthient ve TrendAI ile ortak hareket etti.
Yargı kararları doğrultusunda XCPE şebekesinin kontrolünü sağlayan tüm alan adları ve komuta kontrol sunucuları tek tek çökertildi.
Söz konusu arka kapı üzerinden yönetilen bir düzineden fazla zararlı yazılım ailesinin altyapısı dağıtılarak 10 milyonu aşkın ek cihazın suç şebekesiyle irtibatı kesildi.
Ne var ki ana sunucuların kapatılmış olması, kullanıcıların elindeki cihazların sistem yazılımındaki arka kapıyı fiziken yok etmedi.
Arka kapı doğrudan /oem/ bölümüne kazındığı için normal menüden uygulama silmek veya cihazı fabrika ayarlarına döndürmek güvenliği sağlamaya yetmiyor.
Siber güvenlik uzmanları, tehlike altında bulunan tüketicilerin acilen şu adımları atmasını tavsiye etti:
— Cihazı Ağdan Koparın: Riskli televizyon kutusunun kablolu ve kablosuz internet bağlantısını derhal kesin.
— Yetkili Satıcıya Başvurun: Üretici veya distribütörden bağımsız olarak doğrulanmış temiz bir yazılım ya da donanım değişimi talep edin.
— Yönlendirici Güvenliğini Sağlayın: Evinizdeki modemin yazılımını güncelleyin ve Wi-Fi şifrenizi vakit kaybetmeden değiştirin.
— Akıllı Donanımları Ayırın: Telefon, bilgisayar ve güvenlik kameralarını televizyon kutusuyla aynı yerel ağda tutmayıp konuk ağına taşıyın.
— Platform Parolalarını Sıfırlayın: Aygıtta oturum açtığınız Google hesapları ve dijital yayın platformu şifrelerini başka bir cihazdan yenileyin.
