この記事でわかること
- GoogleがXCPEボットネットを遮断し、製造元のVideostrongとの関係を解消した経緯
- 感染した端末で何が起きていたのか、遮断後もバックドアが端末に残る理由
- 手元の格安Android TVボックスが該当するか確かめる手がかりと、該当したときの対処
GoogleがXCPEボットネットを遮断、130万台超のTVボックスが対象
Googleの脅威インテリジェンス部門（Google Threat Intelligence Group：GTIG）は米国時間の2026年11月2日、Android TV用のセットトップボックスを中心とする「XCPE」と呼ばれるボットネットを、10月下旬に業界パートナーと共同で解体したと公式ブログで公表しました。ボットネットに組み込まれていた端末は130万台を超えます。
ボットネットは、乗っ取った多数の端末を外部から一斉に操る仕組みのこと。XCPEの大半は、テレビにつないで動画配信アプリを使うためのAndroid TVボックスでした。遠隔医療用の機器やカラオケ機器、デジタルサイネージでも感染が見つかっています。
作戦には日本の警察庁も加わりました。共同で取り組んだのはLumen、HUMAN Security、Plume、Synthient、TrendAIの各社で、共同発表によると感染端末は200を超える国と地域に広がっていました。
バックドアを仕込んだのは端末のメーカー自身
今回が異例なのは、怪しいアプリを入れたわけでも、脆弱性を突かれたわけでもないところです。GTIGは、中国・深圳の端末メーカーVideostrong Technologyが、利益を目的にバックドアとボットネットを意図的に開発・運用していたと「高い確度」で結論づけました。Videostrongは自社ブランドの製品に加えて、他社ブランド向けの端末も製造しています。
バックドアの本体「x.cpe」は、出荷時からファームウェア（端末の基本ソフト）に組み込まれ、システム権限で動いていました。Videostrongはこの仕組みへの「入口」を犯罪者側に売り、相手のマルウェアを感染端末へ送り込んでいたとGoogleは説明しています。
送り込まれた機能で多かったのは、端末を「住宅用プロキシ」にするものです。住宅用プロキシは、第三者の通信を一般家庭のネット回線経由で流すサービスで、持ち主の知らないうちに自宅の回線が他人の通信の出口として使われます。ほかにも、裏で広告を表示・クリックする広告詐欺や、別のバックドアの導入が確認されました。運営側は画面のスクリーンショット取得やキー入力の送信、アカウント情報やシステムログの持ち出しも実際に行っていたとされます。
バックドアはGoogle Play プロテクトのアプリ確認機能を無効にしたうえで、アプリを黙って入れていました。不正なコードを最初の起動後に読み込む工夫で、Googleの認定テストもすり抜けています。
GoogleはVideostrongとの関係を解消、認定端末の製造も禁止
Googleは法的措置を通じて、ボットネットを制御していたドメインやサーバーを停止しました。XCPE経由で配られていた十数種類のマルウェアの指令サーバーも止めています。これらのマルウェアはXCPE以外の経路でも広まっていたため、Googleは、XCPEの130万台超とは別に、少なくとも1,000万台の感染端末への犯罪者側のアクセスも断てると見積もっています。
あわせてGoogleはVideostrongとの関係を解消しました。GoogleのアプリやサービスをプリインストールしたAndroid TV端末を製造するライセンスを取り消し、同社と今後の関連会社に対して、Googleの認定を受けたAndroid端末の製造や、認定端末メーカーへのソフトウェア供給を禁じています。認定審査の手順も見直し、認定Android TV端末のファームウェア検査を強化しているとのことです。
遮断後もバックドアは端末に残る
今回止まったのはサーバー側で、端末のバックドアは消えていません。x.cpeはファームウェアの保護された領域から自分を再インストールする仕組みで、アプリとして削除しても再起動すれば戻ってきます。持ち主が自力で取り除くのは難しい。
サーバーが止まった今は指令が届かない状態です。ただGoogleは、こうした犯罪の仕組みは一部を潰されてもすぐ別の手段へ乗り換えると警告しています。止まったのは今の指令ルートだけ、と考えておくほうが現実的です。
手元のAndroid TVボックスが該当するか確認する手がかり
Googleの発表には、影響を受けた機種やブランドの一覧はありません。共同調査に加わったSynthientは、今回の攻撃で観測された182の機種名をGitHubで公開しています。ただし、機種名が一致するだけで感染しているとは限らない、と同社自身が注意書きしています。
Synthientが注目しているのは、Videostrongと関係があるとするブランド「MECOOL」の製品です。購入したMECOOL KM9PRO Maxにバックドアがプリインストールされていたと報告しており、Plumeも、指令サーバーとの通信が確認された端末の多くがMECOOL製だったとしています。
Play プロテクト認定も目安の一つです。認定はGoogleの互換性テストを通過した端末に与えられるもので、状態はGoogle Playストアの設定画面で確認できます。ただ今回は、認定済みの端末も含まれていたとPlumeは指摘しています。Videostrongの公式サイトにも、11月2日時点で「Google認定」をうたう製品が並んでいました。認定済みという表示だけでは、この問題に当てはまらないとは言えません。
該当しそうな端末を使っている場合の対処
一覧に機種名がある、あるいはメーカーのはっきりしない格安のTVボックスを使っているなら、まずはネットワークから外すのが現実的です。ネットにつながっていなければ、外部から指令を受けることも、自宅の回線を他人に使われることもありません。
その先の対応は、研究者の間でも分かれています。Synthientは調査報告で、消費者に端末の破棄を勧めています。Plumeは調査報告で、追加のバックドアが入っている可能性があるとして初期化を推奨していますが、初期化でx.cpe自体が消えるかどうかには触れていません。メーカー自身が仕込んだ以上、メーカーの修正アップデートに期待するのも難しいところです。
動画配信を続けたいなら、販売元のはっきりした端末へ買い替えるのがいちばん確実。アカウント情報の持ち出しも確認されているため、使い続ける場合も、ログインが必要なサービスをそのTVボックスで使うのは避けたほうが無難です。
