Google、警察庁と協力してAndroid TVに仕込まれていたバックドアを無効化

XCPEマルウェアの全体像

Googleは3日(米国時間)、日本の警察庁らと協力し、130万台以上のセットトップボックス(STB)に仕掛けられていたXCPEバックドアの無効化を実施したと発表した。

XCPE(x.cpe)バックドアはAndroid端末のOEM/ODM企業Videostrong Technologyが製造しているデバイスに組み込まれていたマルウェア。Google Playの保護機能無効化や遠隔操作、アドフラウド(広告不正)の実行、ユーザー回線の踏み台(レジデンシャルプロキシ)化、他マルウェアの追加インストールなどが行なえるようになっていた。デバイスのファームウェアに直接書き込まれており、専用インフラと検出回避のための動的設定によって管理されていたという。VideostrongはこのXCPEバックドアへのアクセス権を販売し、収益化を行なっていた。

感染デバイスは大半がAndroid TVのSTBだが、遠隔医療端末、カラオケ機器、デジタルサイネージなどAndroidベースのIoTデバイスも含まれる。北米、南米、オーストラリア、ロシア、東南アジア、欧州、アフリカの一部の国でボットネットを形成していた。

x.cpeの世界的な地理的分布

Googleは警察庁のほかLumen、HUMAN Security、Plume、Synthient、TrendAIと連携してXCPEのボットネット解体と法的措置を実施し、あわせてバックドア経由で配布されていたマルウェアのC2(Command and Control)ドメインのテイクダウンも行なった。結果としてXCPE以外の経路を含む1,000万台以上のアクセスを遮断できたと推測している。ただしGoogleによれば、バックドア事業者やレジデンシャルプロキシ事業者、アドフラウドを行なう犯罪グループは複雑なサプライチェーンを形成しているため、対処には継続的なインフラ追跡が必要だとしている。

Googleではこれを受けてVideostrongとの提携を解消し、Videostrongとその子会社、関連会社による認定Androidデバイスの製造販売、他ベンダーへのソフトウェア提供を永久に禁止した。また既存の審査プロセスを強化し、Android TVデバイスのファームウェア完全性を保証する検証プロセスを見直すとしている。