1,3 milyon Android TV kutusu suç şebekesinin parçası çıktı: Kullanıcıların internet bağlantıları ele geçirildi

Google, dünya genelinde 1,3 milyondan fazla Android TV kutusuna yerleştirilen zararlı yazılım ağını ortaya çıkardı. XCPE adı verilen arka kapının, cihazlar daha satışa sunulmadan yazılımlarına yerleştirildiği belirlendi. Google, operasyonun arkasında Çinli üretici Videostrong Technology’nin bulunduğunu değerlendiriyor.

Google Tehdit İstihbarat Grubu (GTIG), 2 Kasım 2026’da yayımladığı raporda, dünya genelinde milyonlarca cihazı ilgilendiren büyük bir siber güvenlik operasyonunu duyurdu. Google ve güvenlik şirketlerinin ortak çalışmasıyla XCPE adı verilen zararlı yazılım ağına ait kontrol sunucuları devre dışı bırakıldı.

Operasyon kapsamında 1,3 milyondan fazla Android TV kutusunun oluşturduğu botnet ağı hedef alındı. Google, zararlı yazılımın Shenzhen merkezli Videostrong Technology tarafından cihazların yazılımlarına önceden yerleştirildiğini yüksek güvenle değerlendirdiğini açıkladı.

Televizyon kutuları kullanıcılarından habersiz çalıştı

XCPE vakasını diğer zararlı yazılımlardan ayıran en önemli özellik, kullanıcıların herhangi bir uygulama indirmesine veya şüpheli bir bağlantıya tıklamasına gerek kalmaması.

Zararlı yazılım, cihazların üretim ve yazılım hazırlama aşamasında sisteme yerleştirildi. Böylece kullanıcılar Android TV kutularını satın alıp evlerindeki internete bağladıklarında cihazlar, arka planda suç faaliyetlerinde kullanılabilecek bir ağın parçası hâline geldi.

Google’ın araştırmasına göre XCPE, cihazlarda sistem düzeyinde yetkilere sahip bir arka kapı oluşturdu. Bu yapı sayesinde uzaktaki operatörler cihazlara yeni yazılımlar yükleyebildi, sistem komutları çalıştırabildi ve cihazlardan bilgi toplayabildi.

Üstelik zararlı yazılımın kullanıcı tarafından kaldırılması da kolay değildi. Google’ın raporuna göre ana bileşen, cihazın korumalı yazılım bölümünde bulunuyordu ve silinmesi durumunda yeniden yüklenebiliyordu.

Kullanıcıların internet bağlantıları başkalarına kullandırıldı

XCPE ağına dâhil edilen cihazlar, farklı suç faaliyetlerinde kullanıldı. Bunların başında reklam sahtekârlığı ve konut tipi vekil sunucu (residential proxy) ağları geliyor.

Konut tipi vekil sunucu sistemlerinde kullanıcıların ev interneti bağlantıları, başka kişilerin internet trafiğini yönlendirmek için kullanılıyor. Böylece dışarıdan bakıldığında söz konusu trafik, bir veri merkezinden değil sıradan bir ev interneti kullanıcısından geliyormuş gibi görünebiliyor.

Bu durum cihaz sahipleri açısından ciddi riskler oluşturuyor. Kullanıcının internet bağlantısı, bilgisi ve izni olmadan üçüncü kişilerin faaliyetlerine aracılık edebiliyor. Ayrıca zararlı yazılım modülleri reklam gösterimlerini ve tıklamalarını yapay biçimde artırmak, başka yazılımlar yüklemek ve cihazlardan veri toplamak için de kullanıldı.

Google, operatörlerin bazı cihazlarda ekran görüntüsü alabildiğini, klavye girdilerini izleyebildiğini ve uzaktan sistem komutları çalıştırabildiğini de belirledi.

Google üreticiyi Android ekosisteminden çıkardı

Google, operasyonun ardından Videostrong Technology ile ilişkisini sonlandırdığını açıkladı. Şirketin ve gelecekteki iştiraklerinin, Google uygulamaları önceden yüklenmiş sertifikalı Android cihazlar üretmesi veya bu cihazlara yazılım sağlaması yasaklandı.

Google ayrıca Android TV cihazlarının yazılım bütünlüğünü denetleyen güvenlik süreçlerinde değişikliklere gitti. Şirketin açıklamasına göre Videostrong, zararlı kodu cihazların ilk açılışından sonra yükleyerek mevcut güvenlik kontrollerini aşmayı başarmıştı.

Operasyon Google’ın yanı sıra Japonya Ulusal Polis Teşkilatı, Lumen, HUMAN Security, Plume, Synthient ve TrendAI gibi kuruluşların iş birliğiyle gerçekleştirildi.

Android TV kutusu satın alırken nelere dikkat edilmeli?

Olay, özellikle kaynağı belirsiz ve çok düşük fiyatlarla satılan Android TV kutularının güvenlik risklerini yeniden gündeme getirdi.

Google, etkilenen cihazların tamamını kapsayan bir model listesi yayımlamadı. Bu nedenle yalnızca cihazın markasına veya model adına bakarak güvenli olduğu sonucuna varmak mümkün değil.

Üstelik operasyonun gerçekleştirilmesi, zararlı yazılımın bütün cihazlardan temizlendiği anlamına gelmiyor. Google’ın kontrol sunucularını devre dışı bırakması, mevcut arka kapının cihazların yazılımından silindiğini göstermiyor.

Siber güvenlik şirketi Malwarebytes, şüpheli cihazların internet bağlantısının kesilmesini ve üretici ya da satıcıdan temiz yazılım veya cihaz değişimi konusunda bilgi alınmasını öneriyor. Zararlı yazılımın sistem bölümüne yerleşmesi nedeniyle sıradan uygulama kaldırma işlemi yeterli olmayabiliyor.

Tüketicilerin Android TV kutusu alırken bilinen üreticileri tercih etmesi, Google Play Protect’in durumunu kontrol etmesi ve cihazların yazılım güncellemelerini takip etmesi önem taşıyor.

Bu olayın tüketicilere verdiği en önemli mesaj ise şu: Bir elektronik cihazın güvenliği yalnızca üzerinde çalışan uygulamalara değil, üretim aşamasında yüklenen yazılımlara da bağlı. Ucuz bir televizyon kutusu, farkında olmadan ev internetinin ve kişisel verilerin güvenliğini riske atabilir.