この記事のポイント
- Googleによると、Videostrongは認定Android TVボックス130万台にバックドアを仕込み、そのボットネットへのアクセスを犯罪者に販売していた。
- テイクダウンによりボットネットは機能を妨害されたが、バックドア自体は感染したボックスのファームウェアに残っている。
- 自分のボックスが怪しい場合は、接続を切り、販売元に修正版や交換について問い合わせる。
ほとんどのマルウェアは、ユーザーが何かをクリックしなければ感染しません。しかし、今回のマルウェアは製品の箱に最初から入っていました。
Googleの脅威インテリジェンスグループ（GTIG）は、Androidデバイスメーカーの Videostrong Technology が、金銭的利益を目的にXCPEバックドアを開発・運用していたと高い確度で判断しています。Videostrongはこのバックドアへのアクセスを犯罪組織のアフィリエイトに販売しており、アフィリエイトらは独自のマルウェアモジュールをボックスに読み込ませていました。
GTIGの調査によると、x.cpe（ビルドによっては com.oemservice）と呼ばれるこのバックドアは、システム権限でファームウェアに常駐します。アンインストールしても、デバイスの再起動時に/oem/パーティションから自身を再インストールします。さらに、Google Playプロテクトによるアプリ検証を無効化でき、確認なしで追加のソフトウェアをインストールすることも可能でした。
Googleによると、Videostrongはデバイスの初回起動後に悪意あるコードを読み込む手口で、互換性テストとセキュリティテストをすり抜けていました。これにより、デバイスはレジデンシャルプロキシネットワークの一部であり続けることができました。
レジデンシャルプロキシネットワークは、一般家庭のIPアドレスを顧客に貸し出す仕組みです。通信がデータセンターではなく正規の一般消費者の回線から発信されているように見えるため、サイバー犯罪者はIPアドレスに基づく不正対策や評価システムを回避しやすくなります。
ユーザーへの影響
バックドアが仕込まれたセットトップボックスは、所有者に次のような影響を及ぼす可能性があります。
- 自宅のインターネット回線を他人に使われる可能性があります。レジデンシャルプロキシモジュールにより、他人の通信が感染したボックスと所有者の自宅のIPアドレスを経由して中継されていました。
- 広告詐欺。モジュールがバックグラウンドで偽の広告表示やクリックを発生させていました。
- スパイ行為とデバイスへのリモートアクセス。Googleは、攻撃者がライブスクリーンショットの取得、キー入力の挿入、アカウント情報やデバイス情報の収集、リバースシェルの開設を行っていたことを確認しています。
- さらなるマルウェア。アフィリエイトのモジュールの中には、別のモジュールを読み込めるバックドアもありました。
- 身に覚えのない活動に自宅のIPアドレスが結び付けられる可能性があります。たとえばプロキシ経由の通信にはアカウントのパスワード推測の試行が含まれることがあり、その活動に自宅のIPアドレスが関与しているように見えるおそれがあります。
身を守るには
Googleとそのパートナーは法的措置を講じ、Videostrongがボットネットの制御に使っていたドメインとサーバーをテイクダウンしました。Googleは、Videostrongとその将来の子会社・関連会社に対して認定Androidデバイスの製造を禁止したほか、認定Android TVデバイスのファームウェア整合性チェックを強化したとしています。
ただし、今回のテイクダウンで遮断されたのは、悪意あるサーバーとの現在の接続だけです。感染したデバイスからバックドアが取り除かれたわけではなく、他の犯罪者に悪用される可能性も残ります。ボックスが影響を受けている可能性がある場合は、接続を切り、販売元やメーカーに連絡して、クリーンなファームウェアや交換品を求めてください。アプリをアンインストールしても、ファームウェア内のバックドアは削除できません。
Googleは影響を受けるモデルの完全なリストを公表していません。そのため、所有者はモデル名だけでは自分のボックスが感染しているかどうかを判断できないおそれがあります。ボックスを買い替える場合は、次の点に注意してください。
- 信頼できるメーカーから購入する。
- 「無料でテレビが見られる」ボックスには警戒する。Malwarebytesは以前、Superboxや類似のデバイスについて報じています。
- 帯域幅の共有で報酬を支払うとうたうアプリには注意する。他人の通信があなたのインターネット回線を経由する可能性があります。
- 信頼できるアプリストアを利用し、Google Playプロテクトを有効にしておく。
- ボックスを隔離する。テレビボックスなどのIoT機器は、外向きの通信を制限した別のネットワークまたはVLANに接続します。これでデバイス自体が安全になるわけではありませんが、他の機器とは切り離せます。
詐欺師は、あなたが思っている以上にあなたのことを知っています。
Malwarebytes Mobile Securityは、フィッシング、詐欺SMS、悪意あるサイトなどからあなたを守ります。リアルタイムのAI搭載「Scam Guard」も標準で組み込まれています。
