Google、Videostrongと取引停止　Android端末130万台にバックドア

「x.cpe」の仕組み

対象はテレビに接続するセットトップボックスが中心で、不正ソフト「x.cpe」が出荷時から入っていた。Videostrongはこれを使い、ボットネット「XCPE」を構築していた。認証時のセキュリティテストを避けるため、初回起動後に不正コードを読み込む方式で、利用者が削除しても再起動で再インストールされ、「Google Play プロテクト」も無効化できた。

攻撃者は画面のキャプチャーやキー入力の送信で端末を操作し、アカウント情報やシステムログも外部へ送っていた。最も多い悪用は、回線を第三者の通信に使う「住宅用プロキシ」で、1台に最大3種類のプロキシ用不正ソフトが入った例もある。広告の閲覧数を水増しする詐欺も確認された。

妨害作戦と再発防止

Googleは警察庁、米Lumen、HUMAN Security、Plume、Synthient、TrendAIと協力し、10月最終週にXCPEの運用を妨害。制御用サーバやドメインの停止に向けた法的措置も取った。別経路で感染した少なくとも1000万台についても、攻撃者のアクセスを断てる見込みだ。

Googleは審査プロセスを見直し、認証済みAndroid TV端末のファームウェアに不正コードがないか確認する仕組みを強化する。