Googleは2026年11月2日、警察庁などのパートナーと連携し、130万台以上のAndroidベースのセットトップボックスをボットネットに組み込んでいた「XCPE」バックドアを解体したと発表した。関連するC2（Command and Control）ドメインやサーバーも停止し、XCPE以外の経路で侵害された少なくとも1000万台の追加デバイスへのアクセスも遮断できると評価しているという。
事案の詳細
Googleの発表によれば、今回解体された「XCPE」バックドアは、主にAndroid TVのセットトップボックスにファームウェアとして組み込まれていた。バックドアはシステムレベルの権限で動作し、端末をC2サーバーに接続してボットネットに組み込んでいた。
感染端末は、広告詐欺、データ窃取、悪意ある通信の中継、レジデンシャルプロキシなどに悪用されていた。また、Androidベースのテレヘルス機器、カラオケ機器、デジタルサイネージなどの感染も確認されている。
Googleは、XCPEバックドアとボットネットについて、AndroidのOEM（相手先ブランド製造）およびODM（設計・製造受託）企業であるVideostrong Technology Co.が、経済的利益を目的に意図的に開発・配置・運用していると高い確信を持って評価している。Googleは、VideostrongがXCPEに感染したデバイスへのアクセスを犯罪グループのアフィリエイトに販売していたとしている。
バックドアは「x.cpe」と呼ばれ、一部のビルドでは「com.oemservice」として確認された。Googleによると、バックドアは端末のファームウェアに組み込まれ、Googleの検証プロセスの隙を突いて初回起動後に不正なコードを読み込む仕組みになっていた。追加のマルウェアモジュールを端末に導入することもできたという。
今回の無力化では、Googleが法的措置を通じてVideostrongが使用していたドメインとサーバーを停止したほか、十数種類を超える関連マルウェアファミリーのC2ドメインも停止した。これにより、少なくとも1000万台の追加の侵害デバイスへのアクセスが遮断されると評価しているという。
影響と背景
130万台以上の感染端末は世界中に分布していた。セットトップボックスが「レジデンシャルプロキシ」として悪用されると、購入者の家庭内ネットワークに設置された機器が、第三者の通信を中継するために使われ得る。
対策・今後の展望
Googleは、Videostrongと、同社の将来の子会社・関連会社を含め、認定Androidデバイスの製造や、認定Androidベンダーへのソフトウェア提供を禁止した。また、認定Android TVデバイスのファームウェア完全性を検証するプロセスを強化すると発表している。
今回のXCPEなどのマルウェアエコシステムの解析および無力化は、日本の警察庁のほか、Lumen、HUMAN Security、Plume、Synthient、TrendAIとの連携により実施された。
CSRIからのアドバイス
同種の事案では、安価な動画用デバイスなどが家庭や職場のネットワークに置かれ、外部の指令サーバーにつながることで、所有者の意図に反して通信の踏み台として使われる状況が起こり得る。設置場所が分散しやすい点も特徴とされる。
例えるなら、家に置いた機器が知らないうちに「他人の通話の中継基地」になってしまうようなものだ。手元の端末は普通に動いて見えても、裏側では外部から操作され、別の目的の通信に利用され得る。
まず社内や拠点で使っているセットトップボックスや動画視聴用端末の型番と設置場所を洗い出し、誰が管理しているかを明確にする。次に、機器が外部と通信しているかをネットワーク管理担当者に確認し、用途不明な端末は撤去や隔離を検討する。この種のバックドアはファームウェアに組み込まれているため、アプリを削除しても再インストールされることがある。購入時は、Googleが公開しているAndroid TVの認定パートナー一覧で、信頼できるメーカーの製品かを確認するとよい。
参照: Google、130万台以上のセットトップボックスの悪用に使われていた「XCPE」バックドアをテイクダウン 大規模なボットネット・レジデンシャルプロキシネットワークを無力化
参考：公式情報・アドバイザリ
- Google Threat Intelligence: Shutting the Door on the XCPE Botnet
- Android 認定パートナー一覧: android.com
上記は本記事に関連する公式セキュリティ情報です。詳細は各機関の公式サイトをご確認ください。