130万台超の機器を遠隔操作するボットネット
Googleと各国の協力組織は、Android TV搭載のストリーミング機器など130万台超に広がった「XCPE」バックドアを遮断しました。Googleは、中国の機器メーカーVideostrong Technologyが金銭目的でバックドアを開発・配布したと高い確度で評価しています。
XCPEに感染した機器は、広告詐欺や住宅用プロキシへの登録、追加マルウェアの導入に使われていました。住宅用プロキシは、第三者の通信を一般家庭のインターネット回線経由で中継する仕組みです。感染機器の所有者に知らされないまま、犯罪グループがこうした機能を利用できる状態でした。
GoogleはXCPEの制御サーバーに加え、関連する十数種類以上のマルウェア群が使う指令サーバーも停止させました。この措置によってXCPE以外の経路で感染した機器も含め、少なくとも1,000万台へのアクセスが遮断されるとGoogleは見積もっています。対応には日本の警察庁のほか、Lumen、HUMAN Security、Plume、Synthient、TrendAIが加わりました。
製造時に組み込まれたバックドア
XCPEは、脆弱性を突いたり利用者にアプリを入れさせたりする一般的な感染経路とは異なり、機器のファームウェアに製造段階で組み込まれていました。複数のブランドや機種にわたり、検知を避けるため設定や構成を変えながら長期間使われていました。
バックドアの主な構成要素は「x.cpe」で、一部の機種では「com.oemservice」として動作します。Androidのシステム権限で稼働し、機器の起動後に指令サーバーと通信して、アプリの無断インストールやシェルコマンドの実行、画面の取得などを可能にしていました。
感染機器には、バックドアの通信機能とは別に、犯罪グループが提供する収益化モジュールも導入されました。このモジュールは広告の表示やクリックを偽装し、端末を住宅用プロキシとして使い、さらに別のバックドアを導入する例が確認されています。2024年後半以降は、実行を担うローダーを分ける構成が使われ、2026年8月以降は、Androidのシステムアプリを装った小規模なプログラムへ置き換えが進んでいました。
GoogleがVideostrongとの関係を終了
GoogleはVideostrongとの取引を終了し、同社がGoogleアプリを搭載した認定Android機器を製造するライセンスを取り消しました。将来の子会社や関連会社を含め、認定Android機器の製造・販売や、認定ベンダーへのソフトウェア提供も禁止したとしています。
Videostrongは難読化によって認証テストの抜け穴を利用し、機器の初回起動後に悪意あるコードを読み込ませていました。これを受け、Googleは認定Android TV機器のファームウェアを審査する既存の手順を変更しました。
Synthientは、2025年後半に購入したMECOOL KM9PRO Maxを調査し、バックドアのファイルが置かれたサーバーからVideostrongの研究開発責任者名義のPDFを発見しました。また、同社のドメインと指令サーバーが同じIPアドレスを指していたことや、同社の複数のメールアドレスがバックドアの署名に使われていたことも、運営元の特定につながったと報告しています。
初期化後も残る感染経路
x.cpeはファームウェアのシステム領域に事前搭載され、起動時に「/oem」ディレクトリ内の対応パッケージを確認して、「/data/app」へインストールします。利用者がx.cpeを削除しても、再起動時に「/oem」から自動で再インストールされます。
Androidの通常の初期化は利用者データのある「/data」領域を消去しますが、システム領域は工場出荷時の状態に戻しません。そのため、別の領域に残ったマルウェアは初期化後も存続する場合があります。ファームウェアの再インストールはシステム領域を含むパーティションを書き換える方法ですが、機種ごとに手順が異なります。
Googleは、XCPEを機器から取り除くにはクリーンなファームウェアの導入が必要で、対応できない場合はインターネットから切断するよう説明しています。ボットネットの指令サーバーが停止しても、感染機器内のマルウェア自体が削除されるわけではありません。Googleは、犯罪活動を支えるインフラへの対処を継続するとしています。
