出荷時からバックドア、130万台超のTVボックスが悪用　グーグルが製造元を締め出し

　グーグルは11月3日、Android TVボックスなど130万台超をボットネットに組み込んでいたバックドア「XCPE」を、法的措置などで解体したと発表した。Android機器メーカーのVideostrongが、機器の出荷時から意図的にバックドアを仕込み、そのアクセス権を犯罪者に販売していたと「高い確度で評価している」という。公式ブログで明らかにした。

　XCPEは、機器のファームウェアに組み込まれたバックドアだ。購入後も、マルウェアを提供する犯罪者が機器にアクセスできる状態になっていた。感染機器の大半はAndroid TVのセットトップボックスで、遠隔医療機器やデジタルサイネージなど、ほかのAndroid機器でも確認されたという。

　グーグルは「孤立した内部犯行や、開発上のミスではなかった」と指摘する。複数の機種とブランドに、複数年にわたって組み込まれていたという。

　感染した機器は、住宅用プロキシの中継役にされたり、広告詐欺に使われたり、別のバックドアを追加で読み込まされたりしていた。バックドアはシステム権限で動き、「Google Play プロテクト」を無効にしたうえで、利用者に気づかれずにアプリを導入できた。削除しても、再起動すると復活する仕組みだったという。

　グーグルは、Videostrongが制御に使っていたドメインやサーバーに加え、バックドア経由で読み込まれていた十数種類のマルウェアの制御用ドメインも、法的措置で停止させた。これにより、少なくとも1,000万台の追加の感染機器との接続も断てると見積もっている。

　グーグルは、Videostrongと将来の子会社・関連会社について、認定Android機器の製造・販売と、ほかの認定メーカーへのソフトウェア提供を禁じた。

　Videostrongは、コードを難読化して互換性とセキュリティのテストの抜け穴を突き、初回起動後に悪意あるコードを読み込んでいたという。グーグルは既存の審査プロセスを変更した。

　今回の対応には、警察庁のほか、Lumen、HUMAN Security、Plume、Synthient、TrendAIが協力した。グーグルは小売・流通事業者に対し、機器メーカーへの独立したセキュリティ監査の要求と、サプライチェーンの不正に関わったメーカーの取り扱い停止を求めている。