Google は 2026 年 11 月 2 日 (現地時間)、Android TV Box などを製造する Videostrong が、ファームウェアにバックドアを組み込んで犯罪者に接続権限を販売していたとして、認定を受けた Android デバイスの製造と販売を禁止したことを発表しました。
このバックドアは「XCPE」と呼ばれ、130 万台以上のデバイスをボットネットに組み込んでおり、Google は制御に使われていたドメインとサーバーを法的措置で停止しています。XCPE はファームウェアの一部として出荷されているため、所有者が削除することはできません。
ファームウェアに組み込まれたバックドア「XCPE」
Google によると、XCPE は Videostrong が少なくとも 2024 年後半から改良を重ねてきたものでファームウェアに最初から入っており、システム権限で動作するため、ユーザーが削除しても、再起動すると自動で再インストールされます。
Google Play プロテクトのアプリ確認を無効にしたうえで、ユーザーに知らせずにアプリをインストールしたり、遠隔からコマンドの実行や画面の撮影を行ったりすることもできました。
Videostrong はこのバックドアへの接続権限を犯罪グループに販売し、グループが読み込ませたマルウェアが、広告詐欺、他人の通信を中継するプロキシ (レジデンシャルプロキシ) への組み込み、さらなるマルウェアの読み込みを行っていました。
感染デバイスの大半は Android TV Box で、遠隔医療機器、カラオケ機器、デジタルサイネージにも見つかっています。
Google が実施した対応
Google は、分析と対策に日本の警察庁、Lumen、HUMAN Security、Plume、Synthient、TrendAI と協力し、次の対応を実施したと説明しています。
- 制御ドメインとサーバーの停止: Videostrong がボットネットの制御とマルウェアの読み込みに使っていたもの (法的措置)
- マルウェアの制御ドメインの停止: バックドア経由で読み込まれていた十数種類のマルウェアファミリーが使っていたもの (法的措置)
- 認定デバイスの製造・販売の禁止: Videostrong と今後の子会社・関連会社が対象で、認定を受けたメーカーへのソフトウェア供給も禁止
- ファームウェアの確認方法の改善: 認定を受けた Android TV デバイスが対象
Google は、バックドア経由でマルウェアを読み込ませていたグループが XCPE 以外にも配布経路を持っているため、制御ドメインの停止により、少なくとも 1,000 万台の感染デバイスへの接続も遮断できるとしています。
Videostrong は、Google が認定に求める互換性とセキュリティのテストの隙を突き、デバイスの初回起動後に不正なコードを読み込んでいたといい、Google は審査プロセスを変更しました。
2025 年に Google が提訴した「BadBox 2.0」の対象は認定を受けていないデバイスでしたが、今回認定を受けたデバイスのうち、影響を受けた台数は明らかにされていません。
対象のデバイスと注意点
セキュリティ企業の Synthient は、Videostrong との関連を指摘している MECOOL ブランドの製品を中心に、キャンペーンで確認されたデバイスの機種名リストを公開しています。ただし、機種名だけでは感染しているとは言い切れないという注記があります。
Google は、セットトップボックスなどのコネクテッドデバイスは信頼できるメーカーの製品を購入し、Google Play プロテクトを有効にしておくよう呼びかけています。
認定を受けたパートナーの一覧は、Android TV のサイトで確認できます。
