Google、Videostrong製TVボックスのバックドアを遮断

被害は1000万台超の可能性

XCPEに組み込まれたVideostrong製TVボックスは約130万台とされるが、Googleはバックドアで侵害された端末は1000万台を超えると推定している。調査に協力したSynthientは、この欠陥によりファイル管理からリモートコード実行まで、システム権限での操作が可能だったと説明する。XCPEのログはMecoolやYokaTVなどの名称で売られるモデルにも見つかった。影響を受けたブランドは、メキシコ、ブラジル、ドイツ、マレーシア、米国、中国などで普及していたという。

審査をすり抜けた手口

VideostrongはOEMかつODMとして認証機器を製造し、Googleアプリをプリインストールできた。Googleは、同社が難読化技術で試験の抜け穴を突き、端末の初回起動後に不正コードを読み込ませたと説明する。Googleは審査プロセスを変更した。

GoogleはVideostrongと現在および将来の関連会社に対し、認証済みAndroid端末の製造・販売を禁止した。他の認証メーカーへのソフトウェア販売もできない。SynthientとGoogle Threat Intelligenceは技術レポートを公開しており、研究者は利用者に端末の点検か使用中止を促している。ただ、再販業者が扱う対象ブランドの端末がどうなるかは、まだ分かっていない。