Google、130万台のAndroid TVボックスで秘密裏に稼働していたボットネットを解体

何が起きたのか

Googleの脅威インテリジェンス部門は、「x.cpe」と呼ばれる大規模なボットネットを停止させたと発表しました。ボットネットとは、ネットにつながった機器を遠くから勝手に操る仕組みのことです。このマルウェアは、深圳に拠点を置くVideostrong Technologyの端末に潜んでいました。多くはMECOOLというブランドで売られていた製品です。Googleの審査では、この悪意あるプログラムを見つけられませんでした。審査をすり抜けるために、プログラムを読みにくくする「難読化」という手口が使われたためです。

数字で見るポイント

• ピーク時の感染台数は130万台以上
• 感染していた端末はGoogleの認証を受けたAndroid TV機器
• 端末は、設定してネットにつながった後で、後ろの仕組み（バックドア）から悪意あるプログラムを入れられた
• 多くの端末は、大量の不正な通信を中継する「住宅用プロキシ」や、広告を不正に稼ぐ仕組みに使われていた

どうやって広がったのか

x.cpeは、最初は他のプログラムを運ぶだけの単純な仕組みでした。その後、部品を差し替えられる三段階構成の大きなマルウェアへと進化しました。最初の小さなアプリ（x.cpeやcom.oemserviceという名前）は、それ自体には悪さをする機能はありません。しかし、システムの強い権限を持っていて、運営者の指示で別のプログラムを入れられました。さらに、Googleのセキュリティ機能「Play Protect」も止めていたため、入れられたプログラムは見つかりにくくなっていました。

なぜ重要なのか

この事件では、Googleの認証を受けた機器でも、中身が安全とは限らないことが分かりました。Videostrongは端末を遠隔操作して、画面の撮影やコマンドの実行、家庭内ネットワークにある他の機器の調査までできました。Googleは、この操作がリアルタイムで行われているのを確認したとされています。家庭のテレビ用の箱を買う人にとって、大きな不安材料です。

今後注目したいこと

• Googleが感染した端末の利用者をどう守るか
• 機器メーカーの認証審査がどう変わるか
• Videostrongの製品が今後どう扱われるか