Googleはテレビボックスに潜むボットネットを解体し、そのボックスを製造したメーカーを名指しした。2026年11月2日、Google脅威インテリジェンスグループは「Shutting the Door on the XCPE Botnet」と題する報告書を公開し、XCPEボットネットには200以上の国と地域で130万台を超える機器が登録され、その大半がAndroid TVセットトップボックスだったと述べた。Googleは「高い確信」を持って、バックドアは深センのメーカーVideostrongが金銭目的で意図的にファームウェアに組み込み、展開し、運用したと評価した。Googleは同社との取引関係を断ち、認定Androidデバイスの製造を恒久的に禁じた。
バックドアはファームウェアに潜み、検査中は眠っていた
XCPEバックドアの中核はx.cpeというプログラムで、一部のファームウェアではcom.oemserviceという名前でも現れ、Androidのシステムレベルの権限で動作する。ユーザーがアプリをダウンロードしたときに入り込んだものではなく、出荷前にファームウェアに書き込まれていた。Googleの調査によれば、Videostrongは検査に提出する間バックドアを休眠状態に保ち、互換性とセキュリティのテストをすり抜け、デバイスの初回起動後に悪意のあるペイロードを読み込んだ。削除しても、再起動後にファームウェアのパーティションから再インストールされる。影響を受けたのはテレビボックスだけではない。遠隔医療機器、カラオケ機器、デジタルサイネージも含まれる。Videostrongは自社ブランドMECOOLでテレビボックスを販売すると同時に、他ブランド向けの製造も請け負っており、同じバックドアが複数のブランドやモデルに現れた。乗っ取られた機器は犯罪グループに貸し出され、広告詐欺、プロキシトラフィック、さらなるマルウェアのインストールに使われた。
摘発の範囲は130万台にとどまらない
この摘発作戦は10月下旬に行われ、11月2日に初めて公表された。Googleは日本の警察庁、Lumen、HUMAN Security、Plume、Synthient、TrendAIと協力し、法的措置によってボットネットの指令サーバーとドメインを押収した。Googleの評価では、関連グループの指令インフラを潰すことで、さらに少なくとも1000万台の感染機器への犯罪者のアクセスも断てる可能性がある。この1000万台はXCPEそのものではなく、同じ流通経路を通じて感染した別の機器である。Googleはまた、認定Androidデバイスのファームウェア整合性チェックを強化し、検査中は眠り、初回起動後に作動する抜け穴をふさいだと述べた。
二つの境界を区切る必要がある。第一に、130万台という帰属はGoogle脅威インテリジェンスグループの評価であり、裁判所の判断ではない。第二に、Googleの報告書は、出荷済みの機器から一般ユーザーが自分でバックドアを取り除く方法を示していない。断たれたのは指令側であり、各機器の中のファームウェアではない。安価なAndroid TVボックスを買った人にとって、本当の問題は機器そのものに残っている。出荷時のファームウェアに書き込まれたバックドアは、工場出荷状態に戻しても取り除けない可能性がある。
