TV端末130万台にバックドア、中国メーカーが意図的に仕込んだとGoogleが指摘

Googleは11月3日（米国時間）、公式ブログ「Shutting the Door on the XCPE Botnet」において、130万台以上のセットトップボックスを組み込んだボットネット「XCPE」を、パートナーと連携して解体したと発表した。

Googleの脅威インテリジェンス部門「Google Threat Intelligence Group（GTIG）」の調査によると、XCPEボットネットは、Androidベースのセットトップボックスなどに組み込まれたバックドア型マルウェア「x.cpe」によって構成されている。x.cpeは感染端末を外部から操作する機能を持ち、これらの端末は広告不正や情報窃取などのサイバー犯罪に悪用されていた。

Googleは、中国のAndroid端末メーカーであるVideostrong Technologyが、金銭的利益を目的にバックドアを意図的に開発・展開・運用していたと高い確信を持って評価している。バックドアは複数の機種やブランドのファームウェアにあらかじめ組み込まれており、利用者が知らないうちに端末がサイバー犯罪に悪用される状態になっていた。

• 

  マルウェア「x.cpe」の仕組み（出典：Google Cloud）

感染端末を犯罪グループに提供、広告不正や情報窃取に悪用

Googleによると、Videostrongは感染端末へのアクセス権を犯罪グループに販売することで収益を得ていた。犯罪グループはバックドアを通じて追加のマルウェアを導入し、広告不正や情報窃取などに利用していた。

また、感染端末を「レジデンシャルプロキシ」と呼ばれるネットワークに組み込み、利用者のインターネット接続を第三者の通信の中継に使う仕組みも確認された。

XCPEは端末のファームウェア領域に組み込まれ、システム権限で動作する。Googleの解析では、利用者がバックドアをアンインストールしても、端末の再起動時に自動的に再インストールされる仕組みが確認された。

さらに、外部の指令サーバからの命令によって、アプリのインストールや任意のコマンドの実行、画面キャプチャ、ネットワークの調査などを行う機能も備えていた。

Googleは、Videostrongがセキュリティ審査を回避するための難読化技術を利用し、端末の初回起動後に悪意あるコードを読み込む仕組みを構築していたと説明している。

Googleが製造元との提携を解消、日本の警察庁も対処に協力

Googleは、Videostrongがボットネットの制御やマルウェアの配布に悪用していたドメインとサーバに対し、法的措置を通じたテイクダウンを実施した。

また、バックドアを通じて配布されていた10種類以上のマルウェアファミリーが用いていた指令サーバのドメインも無効化措置を講じた。

これにより、XCPE以外の経路で感染した端末も含め、さらに1000万台以上の感染デバイスへの犯罪グループのアクセスを遮断できたと推定している。

GoogleはVideostrongとの提携を解消し、同社とその子会社・関連会社による認定Androidデバイスの製造・販売や、他社へのソフトウェア提供を永久に禁止した。あわせて、認定Android TVデバイスのファームウェアの完全性を確認する審査プロセスも強化した。

今回のボットネットの解析と解体には、日本の警察庁のほか、Lumen、HUMAN Security、Plume、Synthient、TrendAIなどが協力した。

Googleは、今回の措置がサイバー犯罪者の活動に大きな打撃を与えたとする一方、バックドアの運営者や広告不正グループ、プロキシ事業者などが複雑なサプライチェーンを形成しており、継続的な監視と対処が必要だと指摘している。