Google、Android端末130万台のボットネット「XCPE」を解体

Googleは月曜日、Androidセットトップボックス130万台以上に感染するバックドア兼ボットネット「XCPE（別名X.CPE）」を解体したと発表しました。

このマルウェアを開発・展開し、ボットネットを運用していたのは、中国のAndroid端末メーカー（OEM/ODM）であるVideostrong Technologyです。

Googleによると、Videostrongはアフィリエイトにアクセス権を販売し、バックドアを仕込んだ端末に悪意あるモジュールを読み込ませていました。これらの端末は、広告詐欺やデータ窃取、住宅用プロキシ、さらなるマルウェアの読み込みに悪用されていました。

同社は「この悪意あるソフトウェアが、複数年にわたり多くの端末モデルやブランドに直接組み込まれていたことを確認しました。専用のインフラと絶えず変化する設定によって、検出を回避しアフィリエイトを管理していました」と説明しています。

Googleは解体作業の一環として、法的措置を講じてボットネットのドメインとサーバーを停止させました。XCPEに感染した端末に追加モジュールを読み込ませていたコマンド＆コントロール（C&C）ドメインも対象です。

追加モジュールの運営者はマルウェアの配布先をXCPE以外にも広げていたため、この措置により、少なくとも1000万台の他の端末へのアクセスも遮断された可能性があります。

Googleは、XCPEボットネットは内部の不正行為者の仕業や開発上の見落としの結果ではなく、Videostrongによる意図的な作戦だったと見ています。そのため、同社にGoogleアプリをプリインストールした端末の製造を禁止しました。

Googleは「GoogleはOEMに対し、Androidエコシステム全体で一貫した安全なユーザー体験を確保するため、包括的な互換性・セキュリティテストを受けることを求めています。しかしVideostrongは難読化技術を使ってテストの隙を突き、端末の初回起動後に悪意あるコードを読み込ませました」と述べています。

Videostrongがプリインストールしたマルウェアは3段階の構成でした。/oem/パーティションに常駐する主要なバックドア、ローダーと実行エンジン、そして追加のバックドアを実行してさらにモジュールを読み込める収益化モジュールです。

同社はアフィリエイトにバックドアへのアクセスを提供し、感染した端末を長期間にわたって収益化できるようにしていました。

Googleは「XCPEボットネットで感染した端末の大半はAndroid TVセットトップボックスですが、遠隔医療機器、カラオケ機器、デジタルサイネージ端末など、Androidベースのほかの感染IoT機器も複数確認しました」としています。

XCPEの無力化にあたり、Googleは日本の警察庁、Lumen、Human Security、Plume、Synthient、TrendAIの協力を得ました。ボットネットと解体作戦に関する技術的な詳細は、Plume（PDF）、Synthient、TrendAIも公開しています。

Googleは「今回の措置は十数の悪意ある攻撃者に深刻な打撃を与えたと考えていますが、その土台にある違法市場は強靭です。バックドアの運営者、広告詐欺グループ、住宅用プロキシ事業者は相互に結びついたサプライチェーンとして動いており、一つの要素が潰されても、運営者はすぐに新しいローダーや競合の収益化SDKへ乗り換えます」と述べています。