- Googleが、Androidハードウェアにプリインストールされたマルウェアで構築された、130万台規模の住宅用プロキシボットネットの解体を主導
- 研究者は、メーカーのVideostrongが意図的にマルウェアを出荷し、ボットネットへのアクセスをサイバー犯罪者に販売していたと指摘
- Googleはインフラを押収し、同社をAndroid認証から排除したうえで、デバイスのセキュリティチェックを強化
Googleは、大規模な住宅用プロキシネットワークと、それを構築したマルウェアの解体に関与したことを明らかにしました。今回は異例の事態で、開発元は複数の製品と数多くの顧客を抱える、一見まっとうな企業でした。
ブログ記事によると、同社はパートナーとともに、「XCPE」と呼ばれるバックドアを解体しました。このマルウェアは広告詐欺に使われていたほか、追加のマルウェアを投下するドロッパーとして機能し、デバイスを違法な住宅用プロキシネットワークに組み込むためにも利用されていたとみられます。
Googleによると、ネットワークに組み込まれていたのはセットトップボックスだけで130万台以上に上ります。
サプライチェーン攻撃ではない
悪意ある住宅用プロキシネットワークは目新しいものではなく、定期的に出現しては解体されています。しかし今回のケースは特異でした。マルウェアが、認証を受けたAndroidのOEM（Original Equipment Manufacturer）兼ODM（Original Design Manufacturer）によって製造・販売されたAndroidデバイスに、あらかじめ組み込まれていたからです。つまり、利用者はGoogleの審査を通過した正規の企業から正規の製品を購入したつもりでしたが、実際には信頼を裏切るマルウェア入りのハードウェアを手にし、自分の回線帯域をサイバー犯罪者に売られていたことになります。
このケースでは、企業は自らの行為を認識していただけではありません。マルウェアを積極的に開発し、Googleをはじめ周囲の目から隠す作業までしていました。
Googleは、メーカーへの失望を隠さず、「デバイスメーカーが意図的に利用者をマルウェアに感染させることは、容認できない信頼の裏切りであり、利用者に深刻なリスクをもたらします」と述べています。
Videostrongは結局、2つのものを売っていました。表向きは、ボットネットを構築するマルウェアが仕込まれたAndroid搭載のスマートフォンなどのデバイスです。裏では、そのボットネットへのアクセスをサイバー犯罪者に販売していました。
今回の作戦には、Googleのほか、日本の警察庁、Lumen、HUMAN Security、Plume、Synthient、TrendAIなど、複数の企業・機関が参加しました。
攻撃者は、住宅用プロキシボットネットを常に求めています。強力なDDoS（分散型サービス拒否）攻撃の実行、活動中のアドレスの隠蔽、大規模なクレデンシャルスタッフィング攻撃、地理的制限の回避、Webサイトの大規模なスクレイピングなどに利用できるためです。Videostrongがボットネットへのアクセス販売でどれだけ稼いだのか、誰が利用していたのかは分かっていません。
C2ドメインの閉鎖
Googleは、マルウェアとネットワークの双方を無力化するため、同社がボットネットの制御とマルウェアモジュールのインストールに使っていたドメインとサーバーを閉鎖しました。また、XCPEバックドア経由でモジュールとして読み込まれていた十数種類を超えるマルウェアファミリーが使うC2ドメインも閉鎖しています。さらに、Videostrongと今後の子会社・関連会社すべてに対し、Androidデバイスの製造・販売や、認証を受けた他のベンダーへのソフトウェア供給を禁止しました。
Googleはまた、他のメーカーで同様の事案が起きるのを防ぐため、認証済みAndroid TVデバイスのファームウェア整合性チェックを強化したと説明しています。
Googleは、「GoogleはOEMに対し、Androidエコシステム全体で一貫した安全なユーザー体験を確保するため、包括的な互換性・セキュリティテストを受けることを求めています。しかしVideostrongは難読化技術を使ってテストの隙を突き、デバイスの初回起動後に悪意あるコードを読み込ませていました。そのためGoogleは、今後同様の行為を防ぐため、既存の審査プロセスを変更しました」と強調しています。
電子機器が最初からマルウェア入りで販売されるのは、今回が初めてではありません。先月にはセキュリティ企業のBitdefenderが、DoogeeやCubot（いずれも中国企業）など複数のメーカーのAndroidスマートフォンが、マルウェアをプリインストールした状態で販売されているのを発見しました。ただしそれらの事例では、サプライチェーンが侵害され、OEMの知らないところで、同意もなくマルウェアが組み込まれていました。
