Videostrong Technologyがボットネット構築か グーグルが130万台超の裏口解体、警察庁も連携

中国・深圳の機器製造会社「Videostrong Technology（ビデオストロング・テクノロジー）」が、テレビ接続機器130万台超を不正操作するボットネット「XCPE」を意図的に構築・運用したとして、米グーグルが解体に踏み切り、同社との取引を断ったことが明らかになった。日本の警察庁もこの国際的な妨害活動に連携しており、国内外で大きな話題となっている。

グーグルの脅威分析部門「Google脅威インテリジェンス グループ（GTIG）」は11月3日付の報告書で、バックドア（裏口）「XCPE」と、それによって構築された200カ国以上・130万台超のAndroid機器のボットネットを、警察庁や民間セキュリティ企業の連携により妨害したと公表した。報告書は、この裏口とボットネットがVideostrongによって金銭的利益を得る目的で意図的に開発、配備、運用されたと「高い確度」で判断したと記している。

感染機器の大半はAndroid TVのセットトップボックスだった。遠隔医療機器やカラオケ機、デジタルサイネージへの感染も確認されている。XCPEは利用者が後からインストールするアプリではなく、ファームウェアの領域に最初から組み込まれており、システム権限で動作した。利用者が削除しても再起動すれば自動で再導入され、Google Play Protectによるアプリ確認まで無効化されていたという。

グーグルによると、収益の源は裏口の貸し出しだった。Videostrongは犯罪側の提携先に裏口の利用権を販売し、感染機器には広告詐欺用ソフト、家庭の回線を犯罪通信の中継点に変える「レジデンシャルプロキシ」ソフト、別の不正ソフトを呼び込むソフトの3種類が主に積み込まれていた。セキュリティ企業TrendAIの分析では、6月3日から10月1日の間に380万件以上の自宅やモバイルのIPアドレスがこの仕組みに接続していた。

グーグルの措置は多岐にわたる。制御用ドメインとサーバーの法的停止、提携先不正ソフトの指令ドメイン停止、そしてVideostrongと将来の子会社・関連会社に対する認証済みAndroid機器の製造・販売禁止だ。提携先が別の配布経路も持っていたため、指令ドメインの停止により少なくとも1000万台の感染機器への接続も断たれると見積もられている。

日本時事新聞によると、警察庁は機種一覧が示されていないことを踏まえ、相場より安い機器や無料視聴をうたう機器を購入しないよう利用者に呼びかけている。感染した機器の回線は犯罪の中継に使われ、持ち主自身が攻撃者と疑われるおそれもある。

Videostrongは2011年設立で、2017年にグーグルと契約しAndroid TVのパートナーとなった経歴を持つ。今回の問題は、2025年にFBIが注意喚起した「BADBOX 2.0」ボットネットと同じ生態系の一部とみられている。日本でも格安のAndroid TV端末は広く流通しており、自身の使用機器が該当しないか注意が求められる。