17 milyondan fazla cihazı kapsayan dev botnet, koordineli uluslararası operasyonla çökertildi
Avrupa Polis Teşkilatı (Europol), FBI ve 12 ulusal kanun uygulayıcı kuruluşun katıldığı uluslararası bir operasyonla BadBox 3.0 olarak adlandırılan ve 17 milyonu aşkın Android tabanlı cihazı kapsayan dev botnet çökertildi. Ars Technica güvenlik muhabiri Dan Goodin'in haberine göre operasyon 28 Mayıs'ta tamamlandı ve 'Operation MORPHEUS' kod adıyla yürütüldü.
BadBox 3.0, daha önceki BadBox ve BadBox 2.0 sürümlerinin yenilenmiş bir varyantı. Esas hedefi, ucuz Android TV box'ları, tablet'ler ve akıllı projektörler — özellikle Çin'den ucuz olarak ithal edilen 'sahte marka' ürünler. Cihazlar üretici düzeyinde fabrika yazılımına (firmware) yerleştirilen kötü amaçlı yazılım ile, kullanıcı kurulumundan hemen sonra C2 (Command and Control) sunucularına bağlanıyordu.
Botnet'in başlıca işlevleri şunlardı: (1) reklam dolandırıcılığı — sahte tıklamalar ve görüntüleme oluşturmak; (2) konut proxy hizmeti — diğer suçluların IP adreslerini gizlemek için cihazların İnternet bağlantısını kiralamak; (3) hesap çalışması — banka, sosyal medya ve e-ticaret hesaplarına yetkisiz erişim girişimleri. Europol'un raporuna göre botnet, son 18 ayda yaklaşık 3,2 milyar dolarlık dolandırıcılık trafiği üretti.
FBI'ın Siber Bölümü direktör yardımcısı Joshua Skule, açıklamasında 'BadBox 3.0 operasyonu, uluslararası işbirliğinin kötü amaçlı yazılımlara karşı en etkili silahımız olduğunu kanıtlıyor. Cihaz üreticilerinin tedarik zinciri güvenliğine ilgi göstermesi şart,' dedi. Europol direktörü Catherine De Bolle, 'Operasyonda Almanya, Fransa, Hollanda, Polonya, Romanya, İspanya, İtalya, İngiltere, Avustralya, Japonya ve Güney Kore'nin kanun uygulayıcıları aktif rol aldı,' dedi.
Operasyon, BadBox 3.0'ı kontrol eden 41 C2 sunucusunun ele geçirilmesini ve botnet'in DNS sinkholing tekniği ile kontrolsüz hale getirilmesini içerdi. Almanya Federal Polisi Hessen biriminde gerçekleşen koordinasyon merkezinde dijital forensik analiz çalışmaları sürüyor.
Siber güvenlik şirketi Human Security'nin tehdit araştırma grubu Satori Threat Intelligence Team, BadBox 3.0'ı 2024'ün sonunda keşfetmişti. Human Security CEO'su Tamer Hassan, açıklamasında 'BadBox üzerine üç yıllık araştırma çalışmamız, operasyon başarısının temelini oluşturdu. Bu botnet'in tedarik zinciri ele geçirme niteliği, geleneksel kullanıcı-ihmal kaynaklı bulaşma vektörlerinden farklı bir tehdit modelini gösteriyor,' dedi.
Google'ın Android Güvenlik ekibinden bir sözcü, açıklamasında 'BadBox 3.0 etkilenen cihazların çoğu Google Play Protect sertifikasız Android sürümleri çalıştırıyordu. Tüketicilerin sadece Google sertifikalı cihazlar satın alması ve düzenli güvenlik güncellemeleri uygulaması önerilir,' dedi. Cisco Talos güvenlik araştırma grubu, BadBox 3.0'a karşı kurumsal koruma rehberlerini güncelledi.
ABD Federal Ticaret Komisyonu (FTC), tüketici uyarısı yayınladı; Amazon, eBay ve Walmart gibi e-ticaret platformlarından alınan 50 doların altındaki sahte Android cihaz listesini paylaştı. Komiser Lina Khan'ın halefi olan Andrew Ferguson, açıklamasında 'Tüketicileri ucuz cihaz alımında dikkatli olmaya çağırıyoruz; tedarik zinciri güvenliği denetimi konusunda yeni düzenleyici çerçeve hazırlığındayız,' dedi.
Türkiye cephesinden Bilgi Teknolojileri ve İletişim Kurumu (BTK), BadBox 3.0'a karşı kullanıcı uyarısı yayınladı. BTK Başkan Yardımcısı Dr. Ömer Abdullah Karagözoğlu, 'BadBox 3.0 etkilenen cihazlar arasında Türkiye'ye giren ucuz Android TV box modelleri bulunabilir; kullanıcıların Sertifikalı cihazları tercih etmesi önemlidir,' dedi. BTK ayrıca Türkiye'ye giren bu tür sahte Android cihazların gümrük denetimini güçlendirme planı duyurdu.
BadBox 3.0 operasyonu, uluslararası siber suç soruşturmalarında bir milat oluşturuyor. Operasyon sonrası elde edilen forensik veri, küresel siber suç ekosisteminin yapısını anlamaya yardımcı olacak. Europol, BadBox 3.0 operasyonundan elde edilen istihbaratın diğer botnet ve dolandırıcılık ağlarının çözümlenmesine de katkı sağlayacağını belirtti. Tüketicilerin ucuz Android cihaz alımında dikkatli olması, düzenli güvenlik güncellemeleri uygulaması ve Google Play Protect sertifikalı cihazları tercih etmesi önerilir. Bu yazı bireysel siber güvenlik tavsiyesi yerine geçmez; ciddi şüphe durumunda bilgi güvenliği uzmanlarına başvurulmalıdır.