android
Netflix, Apple TV+, Disney+, Hulu, Amazon Prime, YouTube Premium… Günümüzde ortalama bir aile, sadece sevdiği dizileri izlemek için beş ila on abonelik sahibi ve aylık fatura kolaylıkla yüz dolar psikolojik sınırını aşıyor. Bu durumda, sosyal medyada ve çevrimiçi pazar yerlerinde 2025 yılının sonunda ortaya çıkan; tek seferlik bir satın alma ile binlerce kanala ve tüm yayın hizmetlerine abonelik gerektirmeden erişim sağladığını vaat eden Android tabanlı TV kutuları diğer adıyla “sihirli kutular”a olan talebin hızla artması hiç de şaşırtıcı değil.
Bu cihazların reklamları TikTok ve Instagram’ı dolduruyor; gülümseyen influencerlar SuperBox’ları kutularından çıkarıyor, televizyonlara bağlıyor ve sayısız kanal arasında gezip duruyor. Abonelik yorgunluğuna karşı en etkili hayat hilesi gibi görünüyor, değil mi? Aslında bu, botnet’i ev ağınıza davet etmenin en kolay yollarından biridir.
TikTok’ta yayınlanan ve bedava peynirin ne kadar harika olduğunu anlatan bir tanıtım videosu; bu durumda tüm aboneliklerinizi rahatlıkla iptal edebilirsiniz.
Bu ucuz TV kutularının sorunu nedir?
Kötü amaçlı TV kutularıyla ilgili haberler daha önce de gündeme gelmişti, ancak şu anda bunların pazarlanması gerçekten endişe verici boyutlara ulaştı.
2025 yılının sonunda, analistler büyük perakende mağazalarında ve çevrimiçi pazar yerlerinde satılan popüler SuperBox cihazının çeşitli modellerini inceledi. Bulgular son derece endişe vericiydi: Cihazlar açılır açılmaz, Çinli mesajlaşma uygulaması Tencent QQ’nun sunucularına ve Grass proxy hizmetine ping göndermeye başladı; bu da, sahiplerinin internet bant genişliğini üçüncü taraflara kiralamak anlamına geliyordu.
Araştırmacılar, aygıt yazılımının içinde; bir ağ tarayıcısı, bir trafik analizcisi ve DNS ele geçirme araçları gibi bir medya oynatıcıya hiç yakışmayacak türden uygulamalar keşfettiler. Sonuç olarak, bu cihaz korsan içerikleri yayınlamakla kalmayıp, aynı zamanda yerel ağı tarayarak diğer hedefleri (endüstriyel SCADA arabirimleri dahil) tespit ediyor ve DDoS saldırılarına katılmaya hazır durumda bulunuyordu. SuperBox’larda ayrıca, çok aşamalı kötü amaçlı yazılımların tipik bir göstergesi olan “secondstage” adlı klasörlerin bulunduğu tespit edildi.
Daha yakın bir tarihte, Nisan 2026’da, Darknet Diaries podcastinde D3ada55 takma adıyla tanınan bir güvenlik araştırmacısıyla yapılan bir röportaj yayınlandı. Araştırmacı, bu cihazlarla ilgili pek çok ilgi çekici ayrıntıyı paylaştı; bunların arasında, cihazların Amazon, Walmart ve Best Buy gibi büyük platformlarda hâlâ açıkça satıldığı gerçeği de vardı.
Enfeksiyon günlükleri: BADBOX’tan Keenadu’ya
SuperBox vakası, Android cihazlarının botnet düğümlerine dönüştürüldüğü ya da kutudan çıktığı anda virüs bulaşmış halde satıldığı tek örnek olmaktan çok uzak. İşte en son vakalara bir bakış:
- BADBOX 2.0: Temmuz 2025’te Google, 10 milyondan fazla Android cihaza sahip bir botnetin işletmecilerine karşı dava açtı. Bu cihazların çoğu, Google Play Protect sertifikasına sahip olmayan ucuz TV kutuları, tabletler ve projektörlerden oluşuyordu. Daha önce de bildirdiğimiz gibi, BADBOX 2.0 özellikle TV kutularını hedef alıyor ve hem bir proxy ağı hem de bir reklam sahtekarlığı motoru olarak aynı anda çalışıyor.
- Kimwolf: Aralık 2025’te, QiAnXin XLab ekibi, yaklaşık 1,8 milyon Android cihazını ele geçirmiş bir DDoS botnetini ortaya çıkardı. Virüs bulaşmış donanımlar arasında, TV BOX, SuperBox, XBOX, SmartTV ve benzeri tanınmış isimleri taşıyan, markasız üreticilerin ürettiği genel modeller de bulunuyordu. Enfeksiyonun yayılma alanı çok genişti ve güvenliği ihlal edilmiş cihazlar dünyanın dört bir yanına gönderilmişti. En çok etkilenen ülkeler arasında Brezilya, Hindistan, ABD, Arjantin, Güney Afrika, Filipinler ve Meksika yer aldı.
- Keenadu: Uzmanlarımız bu kötü amaçlı yazılımı 2025 yılının Kasım ayında yepyeni cihazların aygıt yazılımında gizlenmiş halde tespit etmişlerdi; ancak bu yazılım, 2026 yılının Şubat ayında konuyla ilgili bir araştırma yayınlayana kadar geniş çapta ilgi görmemişti. Keenadu, yasal sistem bileşenleri gibi görünerek yüz tanıma ile kilit açma uygulamalarına bile yerleşik olarak sızıyor ve saldırganların biyometrik verilere, banka bilgilerine ve kişisel mesajlara erişmesine olanak tanıyabilir.
Tüm bu vakaların kaynağı aynı: Triada Truva Atı. Bu Truva Atı, araştırmacılarımız tarafından ilk kez 2016 yılında tespit edilmiş ve o dönemde “en gelişmiş mobil Truva Atlarından biri” olarak nitelendirilmişti. Son on yıl içinde, bu yazılım standart bir kötü amaçlı yazılımdan, üretim aşamasında doğrudan aygıt yazılımına yerleştirilen modüler bir arka kapıya dönüşmüştür.
Enfeksiyon süreci nasıl işliyor?
Ucuz TV kutusu üreticileri her konuda kaliteden ödün veriyor: Google Play Protect sertifikası, aygıt yazılımı denetimleri ve güvenlik güncellemeleri. Bu cihazların çoğu, hiçbir güvenlik garantisi olmaksızın Android Açık Kaynak Projesi üzerinde çalışıyor. Tedarik zincirinin herhangi bir noktasında (fabrikada, bir aracı vasıtasıyla ya da bir distribütörde) aygıt yazılımı görüntüsüne bir arka kapı yerleştiriliyor. Uzmanlarımız, üreticinin bu güvenlik ihlalinden haberdar bile olmayabileceğinden şüpheleniyor.
Enfeksiyonun muazzam boyutu, milyonlarca aynı kutuyu bir botnet için mükemmel bir zemin haline getiriyor; ele geçirilen her cihaz, herhangi birine kiralanabilecek benzersiz bir IP adresi anlamına geliyor. Kimwolf gibi botnet operatörleri, bunu yalnızca dağıtık DDoS saldırıları yoluyla değil, aynı zamanda virüs bulaşmış akıllı TV’lerin ve akış cihazlarının bant genişliğini yeniden satarak da gelir elde ediyor.
Bunun sizin için anlamı nedir?
Enfekte bir TV kutusu, evinizin Wi-Fi ağına bağlı olarak oturma odanızda durur. Bu; bankacılık uygulamaları kullanılan akıllı telefonları, aile arşivlerini barındıran ağa bağlı depolama (NAS) cihazlarını, IP kameraları, akıllı kilitleri, iş dizüstü bilgisayarlarını ve Wi-Fi ağınıza bağlı diğer tüm cihazları algılayabileceği anlamına gelir.
Ev ağınızda bu tür bir köprübaşı oluşturduğunda, bir saldırgan şifrelenmemiş trafiği ele geçirebilir, DNS taleplerini taklit edebilir, portları tarayabilir ve komşu cihazlarda güvenlik açıkları arayabilir. Üstelik, IP adresiniz dolandırıcılık amaçlı faaliyetlerde kullanılabilir. Sonuç olarak, en iyi ihtimalle IP adresiniz kara listeye alınacak ve yasal hizmetler şüpheli faaliyetler nedeniyle sizi engellemeye başlayacak; en kötü ihtimalle ise kolluk kuvvetleri kapınızı çalabilecektir.
Potansiyel olarak tehlikeli bir cihazı nasıl tespit edersiniz?
Aşağıdaki durumlarda dikkatli olmalısınız:
- T95, X96Q, MX10, TV BOX, SuperBox gibi markasız ürünler kullanılıyorsa
- Tek seferlik bir ücret karşılığında ücretli premium hizmetlere ömür boyu ücretsiz erişim vaat ediliyorsa
- İlk kurulum sırasında Google Play Protect’i devre dışı bırakmanız veya üçüncü taraf APK’ları yüklemeniz gerekiyorsa
- Play Protect sertifikası yoksa
- Sosyal medyada yoğun spam saldırı kampanyaları yoluyla tanıtılıyorsa
Botnet düğümü barındırmamak için ne yapmalı?
- Google Play Protect özelliğine sahip sertifikalı TV kutularını satın alın ya da cihazları doğrudan saygın telekom operatörlerinden ve internet hizmet sağlayıcılarından satın alın.
- Tüm akıllı ev cihazlarını birbirinden ayırın. Evdeki yönlendiricinizde TV kutuları, kameralar, akıllı hoparlörler, robot süpürgeler ve benzeri cihazlar için ayrı bir Wi-Fi ağı kurun; akıllı telefonları, NAS cihazlarını ve bilgisayarları ise ana ağda bırakın. Bu, kötü amaçlı yazılımların önemli cihazlarınıza yayılmasını engeller.
- Tüm cihazlarınızın aygıt yazılımını düzenli olarak güncelleyin ve yönlendiricinizi de unutmayın. Yönlendirici, bu zincirdeki bir başka zayıf halkadır.
- Android TV kutunuzdan sizin yüklemediğiniz tüm uygulamaları kaldırın; özellikle alternatif uygulama mağazalarını, Wi-Fi “güçlendiricilerini” ve “sistem temizleyicilerini”.
- Trafiğinizi takip edin. Modern yönlendiriciler ve Kaspersky Premium, hangi cihazların nereye bağlandığını gösterebilir. Bir medya oynatıcıdan Çin’deki sunuculara sık sık bağlantı kurulması, önemli bir güvenlik riski işaretidir.
- Tüm cihazlarınıza Kaspersky Premium yükleyin; Truva atlarına karşı koruma sağlar ve virüslü APK dosyalarını yaymak için sıklıkla kullanılan kimlik avı sayfalarını engeller.
- Google Play Protect’i devre dışı bırakmayın ve güvenilir olmayan kaynaklardan APK yüklemekten kaçının. Bu, resmi uygulama mağazasını atlayan başlıca bulaşma yoludur.
- Şüpheniz varsa, TV kutusunu iade edin. Ucuz bir akış cihazı, biyometrik verilerinizi, banka bilgilerinizi veya IP adresinizin itibarını tehlikeye atmaya değmez.
Akıllı ev cihazlarınızı başka nasıl koruyabileceğinizi öğrenmek ister misiniz? Aşağıdaki yazılarımıza göz atabilirsiniz:
Televizyonunuz, akıllı telefonunuz ve akıllı hoparlörleriniz sizi gizlice dinliyor mu?
Yönlendiriciniz gizlice yabancı istihbarat için mi çalışıyor?
En iyi akıllı ev standartları ve bunların nasıl uygulanacağı
İpuçları