Googleとパートナー各社、130万台規模のボットネット「XCPE」を阻止

Googleと業界パートナーは、サイバー犯罪オペレーション「XCPE」ボットネットの阻止に成功しました。このボットネットは、130万台以上のAndroidベースのセットトップボックスにバックドアを仕込み、一般消費者向けデバイスを悪意ある活動のインフラに変えていました。

Googleの脅威インテリジェンスグループ（GTIG）は、この活動を「高い確信度」でAndroidデバイスメーカーのVideostrong Technology Co.によるものと断定しました。同社は少なくとも2024年以降、複数のデバイスモデルやブランドにXCPEバックドアマルウェアを意図的に組み込んでいたとされます。GTIGが今週初めに公開したブログ記事で明らかにしました。

Googleによると、同メーカーは単に脆弱なデバイスを悪用していただけではありません。犯罪アフィリエイトが侵害されたハードウェアにアクセスし、独自のマルウェアを展開できる仕組みを構築していたとされます。

ブログ記事には次のように記されています。「Videostrongは、犯罪アフィリエイトにアクセス権を販売し、そのアフィリエイトのマルウェアモジュールを感染デバイスに読み込ませることで、バックドアを収益化していました。これらの二次モジュールは、広告詐欺を行い、感染デバイスを気付かれないままレジデンシャルプロキシネットワークに組み込み、XCPEに侵害されたデバイスに追加のマルウェアを読み込ませていました」

XCPEとVideostrongへの対抗措置

Googleと、日本の警察庁、Lumen、HUMAN Security、Plume、Synthient、TrendAIなどのパートナー各社は、Videostrongに対して法的措置を講じました。同社がボットネットの制御やアフィリエイト向けマルウェアモジュールのインストール、さらにそれらのモジュールが使うコマンド＆コントロール（C2）インフラの運用に用いていたドメインとサーバーを、無力化する狙いです。

アフィリエイトのモジュールは「XCPE以外にも多様な配布経路を持っている」ため、そのC2インフラを阻止すれば「少なくとも1,000万台の侵害デバイスへのアクセスを遮断できる」と、Googleは見ています。

Googleはまた、Videostrongとの関係を断ち切りました。同社に加え、将来の子会社やアフィリエイトに対しても、認定Androidデバイスの製造・販売や、他の認定ベンダーへのソフトウェア提供を禁止しています。Dark Readingは水曜日にVideostrongへコメントを求めましたが、すぐには回答を得られませんでした。

XCPEに取り込まれた脆弱なデバイス

XCPEボットネットに感染したデバイスの大半は、Android TVのセットトップボックスでした。ただしGoogleによると、遠隔医療機器やカラオケ機器、デジタルサイネージシステムなど、Androidベースの他のIoTデバイスも含まれていました。

IoTデバイスにリスクが広がっている状況は、今週公開されたBitdefenderの「2026 IoT Security Landscape Report」にも表れています。同レポートは、2026年1月から9月にかけて、監視対象の約1,040万台のルーターの配下にあるデバイスで、54億件のセキュリティイベントと62億件の脆弱性の観測を記録しました。これらの数字は検知された活動と特定されたデバイスの脆弱性を示すもので、侵害が確認されたものではありません。それでも、接続デバイスが直面する脅威の規模と、企業にとっての潜在的な攻撃対象領域の大きさを浮き彫りにしています。

Googleによると、Videostrongが被害デバイスに対して行った操作の大半は、マルウェアモジュールのインストール、アンインストール、設定でした。一方で、オペレーターは「機密性の高い操作」も実行していました。具体的には、リアルタイムのスクリーンショット取得、キー入力の注入、アカウントやデバイスの詳細・パッケージ一覧・システムログといった機密情報の窃取、シェルスクリプトやコマンドの実行などです。コマンド実行には、感染デバイス上でリバースシェルを確立するためのものも含まれます。

企業に及ぶボットネットの影響

この活動は主に一般消費者向けデバイスを標的にしていましたが、企業や組織のセキュリティにも重大な影響を及ぼします。XCPEは、侵害されたIoT機器が犯罪インフラに転用される実態を示しています。攻撃者はレジデンシャルプロキシネットワークを手にすることで、悪意ある活動を隠し、IPベースのセキュリティ対策を回避し、不正行為を容易にできます。

モバイルアプリケーションセキュリティ企業Approovのフィールドチーフ・テクノロジー・オフィサー（CTO）、Mark Mazur氏は次のように指摘します。「130万台のデバイスをレジデンシャルプロキシに変えることで、攻撃者は価値の高いAPIエンドポイントへの攻撃に使うインフラそのものを強化しています」

同氏によると、ボットネット経由の攻撃は正規の一般消費者のIPアドレスから発信されることがあります。そのため、ジオブロッキング、ASNブロッキング、IPレピュテーションフィルターといった標準的な防御策は「ほとんど役に立ちません」。

Mazur氏は次のように付け加えます。「攻撃者は、主にIoTデバイスを基盤としたインフラを構築しています。これは、高度なクレデンシャルスタッフィングやAPI悪用のキャンペーンを支えかねません」

このマルウェアはリモートコマンドの実行、ネットワーク偵察、永続的なアクセスの維持が可能です。そのため、企業や医療現場に導入された接続デバイスへの懸念も高まります。たとえばデジタルサイネージやテレビ、遠隔医療機器が侵害され、十分に分離されていないネットワークに接続されていれば、攻撃者がネットワークを探索したり足掛かりを確保したりする機会を与えかねません。ただしGoogleは、そのような活動が実際に起きたことは確認していません。

悪意ある行為者となったOEM

Googleは、Androidエコシステムに参加するOEM（相手先ブランド製造業者）に、互換性とセキュリティに関する包括的なテストの通過を求めています。しかしGoogleによると、Videostrongは審査プロセスの弱点を突く「難読化技術を用いて」これらの検査を回避しました。悪意あるコードはデバイスの初回起動後に読み込まれ、最初のセキュリティチェックをすり抜けていました。

GoogleはVideostrongの行為を「容認できない信頼の裏切り」と断じました。ブログ記事によると、Android TVファームウェアの完全性を守り、「今後の同様の行為への防御を強化する」ため、審査プロセスをすでに強化したといいます。

Googleは追加の保護策として、消費者に対し、「未使用の帯域幅」や「インターネット共有」の対価を支払うと称するアプリに警戒するよう呼びかけました。こうしたアプリは、セットトップボックスなどのIoT製品をレジデンシャルプロキシネットワークの一部に変えてしまう恐れがあるためです。

ブログ記事は次のように説明しています。「こうしたアプリは、不正なプロキシネットワークが拡大する主な経路であり、デバイスのホームネットワークにセキュリティ上の脆弱性を生む可能性があります」

Googleはさらに、Androidユーザーに対し、信頼できるアプリストアを利用すること、サードパーティ製VPNやプロキシアプリが要求する権限を確認すること、Google Play Protectなどの組み込みセキュリティ保護を有効にしておくことを促しています。

最後にGoogleは、モバイルプラットフォーム、ISP、オンラインマーケットプレイス、その他のテクノロジープロバイダーに対し、脅威インテリジェンスの共有とセキュリティのベストプラクティスの実践を続けるよう求めました。悪意あるバックドアや不正なプロキシネットワークなどの有害なソフトウェアを特定し、同様のボットネットが将来出現するのを防ぐためです。