バックドアが話題に 130万台のAndroid TVボックスに仕込まれたマルウェアをGoogleが解体

米グーグルの脅威インテリジェンス部門「Google Threat Intelligence Group（GTIG）」は11月3日、Androidベースのセットトップボックスなど130万台以上を組み込んだボットネット「XCPE」を、関係機関と連携して解体したと発表した。日本の警察庁のほか、Lumen、HUMAN Security、Plume、Synthient、TrendAIなどが解析と解体に協力した。この「バックドア」という言葉が検索で急上昇した背景には、出荷時点から端末に仕込まれていた悪質な仕組みへの社会的関心の高まりがある。GTIGの調査によると、XCPEボットネットは、Android端末向けに組み込まれたバックドア型マルウェア「x.cpe」によって構成されている。x.cpeは感染端末を外部から操作する機能を持ち、これらの端末は広告不正や情報窃取などのサイバー犯罪に悪用されていた。グーグルは、中国のAndroid端末メーカーVideostrong Technologyが金銭的利益を目的にバックドアを意図的に開発・展開・運用していたと高い確信を持って評価しており、バックドアは複数の機種やブランドのファームウェアにあらかじめ組み込まれていたという。グーグルの説明によると、Videostrongは感染端末へのアクセス権を犯罪グループに販売することで収益を得ていた。犯罪グループはバックドアを通じて追加のマルウェアを導入したほか、感染端末を「レジデンシャルプロキシ」と呼ばれるネットワークに組み込み、利用者のインターネット接続を第三者の通信の中継に使う仕組みも確認された。バックドアは端末のファームウェア領域に組み込まれ、システム権限で動作する。利用者がアンインストールしても端末の再起動時に自動的に再インストールされる仕組みが確認されており、セキュリティ審査を回避するための難読化技術も使われていたとされる。グーグルは、ボットネットの制御やマルウェア配布に悪用されていたドメインとサーバーに対し法的措置を通じたテイクダウンを実施した。さらに、バックドア経由で配布されていた10種類以上のマルウェアファミリーが用いていた指令サーバーのドメインも無効化し、XCPE以外の経路で感染した端末を含め1000万台以上の感染デバイスへの犯罪グループのアクセスを遮断できたと推定している。グーグルはVideostrongとの提携を解消し、同社とその子会社・関連会社による認定Androidデバイスの製造・販売や他社へのソフトウェア提供を永久に禁止した。あわせて、認定Android TVデバイスのファームウェアの完全性を確認する審査プロセスも強化している。一方、グーグルは11月2日にAndroidの2026年11月分セキュリティ情報も公開し、216件（CVE単位）の脆弱性を修正した。最も重大度が高いのはFrameworkコンポーネントのCVE-2026-58868で、追加の実行権限を必要とせずリモートでコードを実行される恐れがあり、悪用にユーザーの操作は不要。対象はAndroid 14〜17で、パッチレベル「2026-11-05」以降の端末が全項目に対応する。今回の事例は、購入時点で既に危険が組み込まれているサプライチェーン攻撃の典型であり、安価なAndroid端末を購入する際は信頼できるメーカーと販売経路を選ぶこと、OSとセキュリティ更新を適用し続けることが、利用者側の基本的な防御策として重要になる。