Android TVボックスで動画を楽しんでいる裏で、犯罪者があなたのインターネット回線を悪用し、足跡を隠している可能性があります。
Googleは、130万台以上のAndroidデバイスが侵害されたとされるボットネット「XCPE」を無力化しました。同社によると、メーカーのVideostrong Technologyがデバイスのファームウェアにバックドアを仕込んだとされています。これにより、犯罪グループは何も知らないユーザーの家庭用IPアドレスを経由して、悪意あるトラフィックを中継できました。
Googleは、テレビの余剰帯域を犯罪活動の隠蔽に使うだけでなく、運営者が広告詐欺や追加マルウェアの配布にも関与していたと説明しています。
今回の発見と摘発は、サイバーセキュリティにおける深刻化する問題を浮き彫りにしました。攻撃者が同意を回避して供給源を直接押さえることができれば、ユーザーは何もしなくても悪意ある作戦の被害者になってしまうのです。
1社のOEMが100万台超の脆弱なデバイスを生み出す
Googleは、日本の警察庁、Lumen、HUMAN Security、Plume、Synthient、TrendAIと協力し、10月下旬にこの作戦の摘発に動きました。
Googleの調査結果によると、このボットネットはAndroidデバイスのファームウェアに組み込まれた「x.cpe」というバックドアに依存していました。この悪意あるコンポーネントにより、運営者は侵害したデバイスを、レジデンシャルプロキシサービス、広告詐欺、マルウェア配布などに利用できました。
さらにメーカーは、この不正なアクセス権を犯罪パートナーに販売していました。パートナーはこれを使って、マルウェアの拡散、広告詐欺、レジデンシャルプロキシサービスを展開していました。バックドアを通じて、10を超えるマルウェアファミリーが拡散したとみられています。
この作戦では、Androidデバイスの認証プロセスにある弱点も明らかになりました。Videostrongはセキュリティチェックの間、悪意あるバックドアのスクリプトを隠していました。バックドアはファームウェアレベルに組み込まれていたため、デバイスの初回の再起動後、そしてそれ以降の再起動でも有効になりました。
Googleはその後、このメーカーおよび子会社との関係を打ち切りました。さらに法的措置を講じ、ボットネットとそのマルウェアをホスティングしていたサーバーを無力化しています。この摘発により、アフィリエイト型マルウェアのインフラに関連する、少なくとも1,000万台の侵害デバイスからも、犯罪運営者を切り離せる見込みです。
従来のセキュリティ対策では不十分な場合
デバイスが所有者の手に渡る前に侵害されている場合、従来のセキュリティ対策ではほとんど効果が期待できません。XCPEのケースでは、利用者がAndroid TVボックスを最新の状態に保ち、そのほかのセキュリティのベストプラクティスを守っていても、デバイスのファームウェアにバックドアが埋め込まれたままになる恐れがありました。
ユーザーがアンインストールできる通常の悪意あるアプリとは異なり、ファームウェアレベルのマルウェアは、昇格したシステム権限で動作します。何度削除を試みても残り続ける場合があります。
製造段階で仕込まれた侵害に対して、消費者ができることは限られます。感染を取り除くには、メーカーが提供するクリーンで信頼できるファームウェアが必要になるかもしれません。しかし今回のように、メーカー自身がマルウェアを配信していたとされる場合、そのようなクリーンな環境を入手できる見込みはどれほどあるのでしょうか。
Googleがボットネットの制御インフラを無力化したことで、影響を受けたデバイスが既知の悪意あるサーバーと通信できなくなる可能性はあります。ただし、すでに販売されたデバイスからバックドアが必ずしも除去されるわけではありません。この違いは重要です。侵害されたファームウェアは、元の作戦が阻止された後も、セキュリティリスクであり続ける恐れがあるためです。
消費者にも企業にも、この事案は難しい問いを突きつけています。デバイスを侵害するソフトウェアが、最初から製品の一部になっている場合、ユーザーはどうやってハードウェアを守ればよいのでしょうか。
企業も個人も無関係ではない理由
XCPEの事案は、ネットワーク接続機器を購入する際、価格やスペックの比較だけでは不十分であることを示しています。消費者は、セキュリティの実績を検証できるメーカー、定期的なファームウェア更新、明確なサポート方針を重視すべきです。
Android TVボックスの所有者は、自分の機種が影響を受けると特定されていないか確認してください。特定の供給元のデバイスがすべて侵害されていると決めつけず、メーカーが公開する情報や信頼できるセキュリティ勧告を参照することが大切です。
企業にとっては、攻撃者にとっての価値が高いため、こうした事案のリスクはさらに大きくなります。そのため、会議室用のテレビなどを購入する際は、より厳格に審査する必要があります。
問題はテレビボックスにとどまりません。ルーター、防犯カメラ、スマート家電、そのほかのネットワーク接続製品も、メーカーが侵害されたソフトウェアを出荷したり、デバイスの保守を怠ったりすれば、リスクの源になり得ます。
本質的に、この事案はサプライチェーンセキュリティと信頼の問題です。消費者は安全なハードウェアの提供をメーカーに頼っています。しかし、供給元自体が侵害の発生源であれば、その信頼は負債に変わりかねません。
XCPEの作戦は、サプライチェーンセキュリティが、ユーザーによるデバイス設定だけでは成り立たないことを示しています。製造時に悪意あるソフトウェアが仕込まれた場合、セキュリティ意識の高い消費者や企業でも、それを検知したり除去したりする手段は限られます。
関連するセキュリティニュースとして、 eSecurityPlanetの無線ネットワークセキュリティガイドでは、WPA3暗号化、定期的なファームウェア更新、ネットワークセグメンテーションが、家庭や企業のWi-Fiネットワークを不正アクセスやマルウェアなどのサイバー脅威から守るうえでどう役立つかを解説しています。
翻訳元: https://www.esecurityplanet.com/threats/news-google-xcpe-android-botnet-videostrong/
