Google、130万台のAndroid TVボックスに感染するXCPEボットネットを解体

Googleは本日、業界パートナーと協力して、130万台以上のAndroid TVセットトップボックスで構成される大規模なボットネットを解体したと発表しました。この作戦は、Videostrong Technology Co.が製造し、ユーザーのインターネット接続を秘密裏に貸し出すマルウェアをプリインストールして出荷されたデバイス targeting されました。この措置により、さまざまなIoTカテゴリにわたるさらに1,000万以上の侵害されたシステムへのアクセスが遮断されることが期待されています。

何が起きたか

Google Threat Intelligence Group（GTIG）は、「XCPE」と名付けられたボットネットの主要な実行犯として、中国のメーカーであるVideostrong Technology Co.を特定しました。この名前は、デバイスに埋め込まれたマルウェアのコアコンポーネントに由来しています。GTIGは、Videostrongがこの悪意あるソフトウェアをハードウェアに意図的に組み込み、犯罪関連業者へアクセスを販売することでバックドアから収益を得ていたと結論づけました。これらの関連業者は、ユーザーの同意や認識なしに、独自のマルウェアモジュールを感染したデバイスにロードしていました。

Android TVボックスが感染の大部分を占めていましたが、XCPEマルウェアは他のAndroidベースのIoT製品でも発見されました。これには遠隔医療デバイス、カラオケマシン、デジタルサイネージシステムが含まれます。Googleは、すべてのAndroidデバイスメーカーに対して互換性およびセキュリティテストの合格を要求しているものの、Videostrongはデバイスの初回起動時に即座に悪意あるソフトウェアをロードすることに成功したと述べました。Googleは、この初期感染ベクトルを可能にした特定の弱点については、その後対処済みであることを明らかにしました。

解体を実行するために、Googleは法的措置を取り、Videostrongがボットネットの制御やさらなるマルウェアの配布に使用していたドメインとサーバーを押収しました。報告書では、これは孤立した事件ではなく、デバイスメーカーが利益のためにユーザーの信頼を損なうより広範なエコシステムの一部であると強調されています。この作戦の規模は非常に大きく、専門家たちは、バックドア付きTVボックスに対する対策としては過去最大級のものだと評しています。

仕組み

XCPEボットネットは、感染したデバイスを住宅用プロキシサービスのノードとして機能させることで動作します。デバイスが侵害されると、ユーザーのIPアドレスを再販可能にするソフトウェアがインストールされます。住宅用プロキシサービスは、顧客がこれらのIPアドレスをレンタルしてWebトラフィックを匿名化したり、地理的な位置情報を偽装したりすることを可能にします。このインフラストラクチャは、広告詐欺、アカウント乗っ取り、AIプロジェクト向けの大量コンテンツスクレイピングによく利用されています。

マルウェアは、複数の住宅用プロキシプロバイダーからソフトウェア開発キット（SDK）を感染したデバイスに直接ダウンロードしました。これらのプロバイダーには、Oxylabsが所有するAppSalt（Honeygainとしても知られる）、NetNut、EarnFM、Traffmonetizer、Jaguar、LINKFOG、BMW/IPWeb、GaGaNodeなどが含まれます。これらの企業の一部は最近注目を集めており、例えばFBIは2026年7月、別のボットネット「Popa」への関与により、NetNutに関連する数百のドメインを押収しました。

これらの感染デバイスの配布は、しばしばソーシャルメディアの影響を利用していました。MECOOLやSuperboxなどのブランドは、TikTokやYouTubeなどのプラットフォームでの推薦を通じて人気を集め、インフルエンサーたちが一括払いで海賊版ストリーミングサービスを提供できる能力を宣伝しました。例えば、MECOOLは2023年にYouTubeチャンネルLinus Tech Tipsによって言及された後、売上急増を見せましたが、同チャンネルはその後のコンテンツ更新で製品を詐欺とラベル付けし、アフィリエイトリンクを削除しました。

主要な詳細

• 130万台以上のAndroid TVセットトップボックスがXCPEボットネットの一部であることが確認されました。
• この解体により、さらに1,000万以上の侵害されたIoTデバイスへのアクセスが遮断されることが期待されています。
• Videostrong Technology Co.がマルウェアをプリインストールした責任のあるメーカーとして特定されました。
• 感染したデバイスは、AppSalt、NetNut、Grassなどを含む住宅用プロキシサービスのサポートに使用されていました。
• マルウェアはAndroidベースのヘルスケアデバイス、カラオケマシン、デジタルサイネージにも影響を与えました。
• Googleは、マルウェアがデバイスの初回起動時にロードされることを可能にした脆弱性をパッチ適用しました。

なぜ重要なのか

ソフトウェアエンジニアやインフラリーダーにとって、この事件は消費者向けハードウェアのサプライチェーンに伴うリスクを浮き彫りにします。メーカーが意図的にデバイスを侵害する場合、ソフトウェア側だけでは検出および緩和が困難な持続的な脅威が生じます。これらのデバイスが住宅用プロキシとして使用されるため、アプリケーションからの正当なトラフィックが不正活動と混在することになり、不正検知やセキュリティ監視の努力を複雑にします。

さらに、AIデータスクレイピングや広告詐欺における住宅用プロキシへの依存は、デジタルサービスにとって成長する課題を浮き彫りにします。AIプロジェクトが膨大なデータを必要とするにつれ、匿名化された住宅レベルのアクセスへの需要が高まります。これはXCPEのようなボットネット市場を駆動し、侵害されたIoTデバイスが悪徳企業にとって価値ある商品となるフィードバックループを生み出します。この力学を理解することは、自動化された濫用に対する堅牢な防御メカニズムを構築するために不可欠です。

あなたができること

• 住宅用プロキシの使用を示唆する可能性のある異常なパターンについてネットワークトラフィックを監査してください。
• エンタープライズまたは消費者向けにIoTハードウェアを調達する際、ベンダーのセキュリティ慣行を確認してください。
• 不正なデバイスがネットワークに参加することを防ぐために、厳格なデバイス認証プロトコルを実装してください。
• AppSaltやHoneygainなどの既知のプロキシSDKに関連する侵害指標（IOC）を監視してください。
• 無料プレミアムコンテンツを約束する非公式なストリーミングデバイスを購入することのリスクについてユーザーに教育してください。
• GTIGやSynthientなどのグループによる脅威インテリジェンスレポートを最新の状態に保ち、新興ボットネットを特定してください。