Google、Android TVなど130万台超のボットネットを遮断

Googleの脅威分析チームは、Android TVのセットトップボックスを中心とするXCPEボットネットを、業界各社とともに発表の前週に遮断したと明らかにしました。指令を送る基盤への対処は進みましたが、端末のファームウェアに仕込まれたバックドアが自動的に消えたわけではありません。

テレビを見る箱が、他人の通信の出口に

Googleによると、XCPEには130万台を超えるセットトップボックスが組み込まれていました。感染端末には広告不正や追加のマルウェア配布に使うプログラムが送り込まれ、利用者の同意なく家庭の回線を第三者の通信の出口にする仕組みも動いていました。同社は、画面の撮影やアカウント情報などの持ち出しも観測したとしています。

Googleは、機器の製造・設計を手がけるVideostrongが、利益目的でバックドアを意図的に開発・運用したと、高い確度で判断しています。対象は同社の不正なファームウェアを使う複数ブランドの端末で、すべてのAndroid TV端末が感染しているという発表ではありません。対象機種の完全な一覧は示されていません。

指令基盤を止めても、再起動で戻るバックドア

Googleは法的措置を通じ、XCPEの制御用ドメインやサーバーに加え、関連マルウェアの指令用ドメインも停止させたとしています。Videostrongと今後の子会社・関連会社による認証済みAndroid端末の製造・販売や、他の認証ベンダーへのソフトウェア供給も禁止しました。初回起動後に不正なコードを読み込む手法で検査をすり抜けていたことを受け、ファームウェアの審査手順も改めています。

一方、バックドアのx.cpeはシステム権限で動き、通常のアプリ領域から削除しても、再起動時にOEM領域から再インストールされます。Googleは今回、全対象端末に使える修正プログラムや、初期化すれば直るという案内を示していません。

「回線を共有すれば報酬」のアプリにも注意

Googleは、接続機器の購入時には信頼できるメーカーを選び、Android TVのパートナー一覧を参照するよう勧めています。アプリは信頼できるストアから入手し、Google Play Protectを有効に保つこと、第三者製VPNやプロキシの権限を見直すことも挙げています。

特に注意を促しているのが、「使っていない帯域を提供すれば報酬がもらえる」「インターネット回線を共有する」といったアプリです。ただし、パートナー一覧への掲載やPlay Protectの有効化だけで、すでに感染した端末が修復されたとは判断できません。