2 milyon akıllı TV’yi ele geçiren İsrail ilişkili botnete darbe

ABD Federal Soruşturma Bürosu (FBI) ile Google Threat Intelligence Group (GTIG), dünya genelinde 2 milyondan fazla cihazı siber suç faaliyetlerinde kullanan büyük bir proxy ağını hedef alan ortak bir operasyon gerçekleştirdi. Yetkililer, NetNut adıyla hizmet veren ve güvenlik araştırmacılarının Popa botneti olarak takip ettiği altyapının önemli ölçüde etkisiz hale getirildiğini açıkladı.

Milyonlarca cihaza sızmıştı

Haberi okuduğunuz için teşekkürler, bizi takip etmeyi unutmayın!

Araştırmaya göre Popa botneti, düşük maliyetli Android tabanlı akıllı televizyonlar, TV kutuları (streaming box) ve SmartTube gibi resmi olmayan uygulamalara yerleştirilen kötü amaçlı bir yazılım geliştirme kiti (SDK) üzerinden yayıldı. Etkilenen cihazlar internete bağlandıktan sonra kullanıcıların açık ve anlamlı onayı alınmadan saldırganlar için birer proxy çıkış noktası olarak çalışmaya başladı.

Bu yöntem sayesinde saldırganlar internet trafiğini konut bağlantıları üzerinden yönlendirerek kimliklerini gizleyebildi ve kötü amaçlı faaliyetlerini daha düşük tespit riskiyle gerçekleştirebildi.

Google’ın verilerine göre yalnızca Haziran 2026’da bir haftalık süre içinde en az 316 farklı tehdit kümesi NetNut altyapısını kullanarak şifre, kimlik bilgisi, reklam dolandırıcılığı ve hassas veri toplama operasyonları yürüttü.

İsrail bağlantısı dikkat çekti

Araştırmacılar, NetNut’un klasik botnetlerden farklı olarak ticari bir yapıyla bağlantılı olduğuna dikkat çekti. Siber güvenlik gazetecisi Brian Krebs, ağın Nasdaq’ta işlem gören İsrailli Alarum Technologies Ltd. ile bağlantılı olduğunu öne sürdü. Krebs, Qurium ve Synthient gibi güvenlik şirketlerinin araştırmalarına dayanarak Popa SDK’sını geliştiren ekip ile Alarum’un üst yönetimi arasında doğrudan ilişkiler bulunduğunu aktardı.

Google ise operasyon kapsamında şirket hakkında doğrudan bir değerlendirme yapmadı. Bunun yerine araştırmacılar, NetNut’un iş ortaklarının aynı altyapıyı kendi markaları altında sunmasına imkan tanıyan bir dağıtım modeli kullandığını belirtti. Google ekibi çok sayıda popüler konut tipi proxy hizmetinin NetNut altyapısı üzerine kurulu olduğu açıkladı.

Alarum Technologies ise operasyonun ardından yaptığı açıklamada iddiaları ciddiyetle ele aldığını, kolluk kuvvetleriyle tam iş birliği yapacağını ve altyapısının olası kötüye kullanımının kapsamlı şekilde araştırılmasını desteklediğini duyurdu.

Öte yandan operasyon kapsamında yetkililer yüzlerce alan adına el koyarken Google da botnetin komuta ve kontrol (C2) altyapısında kullanılan hesapları devre dışı bıraktı. Ayrıca Google Play Protect güncellenerek etkilenen uygulamalar tespit edilmeye başlandı ve zararlı SDK’yı içeren uygulamalar kullanım dışı bırakıldı.