Googleは2026年11月2日、130万台超のセットトップボックスを取り込んだ大規模ボットネット「XCPE」を、前週に協力機関と連携して遮断したと発表した。XCPEは外部からの指令で多数の端末を操作する仕組みで、Googleは機器メーカーのVideostrongが金銭的利益を得る目的で意図的に開発・配備・運用していたと高い確度で判断している。製造段階で仕込まれたバックドアが認証試験をすり抜け、初回起動後に悪意あるコードを読み込むことで、購入者に知られないまま機器を不正な収益活動に利用していたという。Googleは関連マルウェアへの対策によって、さらに少なくとも1,000万台の侵害端末へのアクセスを遮断できると見積もっているが、これはXCPEとは別の対象だ。今回の問題では、感染規模だけでなく、どの通信経路が遮断され、端末内部に何が残っているのかが重要となる。
認証試験をすり抜けた、製造段階からのバックドア
XCPEの特徴は、悪意あるプログラムが製造段階から機器に組み込まれていたことだ。Googleによると、Videostrongはコードの難読化と初回起動後に追加コードを読み込む仕組みを組み合わせ、既存の互換性試験やセキュリティ試験を回避していた。つまり、検査時点で確認できるソフトウェアと、購入後に実際に動作するコードが異なる構造だった。
バックドアの入口となったのは「x.cpe」、一部の機器では「com.oemservice」というプログラムだ。これらは機器の基本動作を制御するファームウェアにあらかじめ組み込まれ、強いシステム権限で実行される。さらに、利用者が削除しても、再起動時に機器内の「/oem/」ディレクトリから再インストールされる仕組みまで備えていた。一般的な不正アプリとは異なり、利用者が自らインストールしなくても動作し、通常のアプリ削除では排除しにくい点が問題となる。
GoogleがVideostrongによる意図的な運用と判断した背景には、バックドアが複数年にわたって複数の機種やブランドで使われていたこと、専用の制御インフラが存在したこと、設定が継続的に変更されていたことがある。同社は、単独の内部不正者による行為や開発上の単純な見落としとは考えていない。ただし、これはGoogleによる高い確度での帰属評価であり、司法手続きによって犯罪事実が確定したことを意味するものではない。
調査に協力したセキュリティ企業Synthientの実機解析も、Videostrongとの関係を裏付ける複数の手掛かりを報告している。同社は2025年末に購入した「MECOOL KM9PRO Max」からcom.oemserviceを発見し、運営側の公開ディレクトリに保存されていたVideostrongの研究開発責任者の署名入り文書を確認した。さらに、Videostrongのドメインと管理側ドメインが共通のIPアドレスを使用していたことや、バックドアの署名情報に同社の複数のメールアドレスが含まれていたことも指摘している。一部には第三者による署名も確認されており、単一の署名情報だけで製造元を特定したわけではない。
バックドアと不正プログラムを分離し、家庭回線を収益化
XCPEでは、外部との通信を担うバックドア、追加プログラムを実行する仕組み、実際に収益を生み出すマルウェアが分離されていた。Googleが11月2日に公開した技術報告によると、少なくとも2024年後半には、単一のプログラムで追加コードを導入する方式から、役割を分けた三層構造へと発展していた。
入口となるx.cpeが外部の指令・制御（C2）サーバーと通信し、別のプログラム「com.abc.nexus」が追加モジュールを読み込んで実行する。その先では、別の組織が用意した収益化プログラムが動作していた。Googleは、通信機能と実行機能を分離した理由として、セキュリティ対策による検知を回避する狙いがあった可能性を指摘している。
今回確認された構成と対策を整理すると、次のようになる。
| 役割 | 主な構成と機能 | Googleによる対策 |
|---|---|---|
| バックドア | x.cpeなど。ファームウェアに組み込まれ、外部との指令・制御通信を仲介 | 関連ドメインやサーバーに法的措置 |
| 追加コードの実行 | com.abc.nexusなど。外部から追加モジュールを読み込んで実行 | 指令経路を遮断。ただし端末内部からの完全除去を意味しない |
| 不正な収益化 | 別組織が運用する住宅用プロキシや広告不正プログラム | 関連する十数種類のマルウェア群の制御ドメインにも措置 |
| 機器・ソフトウェア供給 | Videostrongによる機器製造とソフトウェア供給 | Googleとの取引関係を断ち、認証機器の製造・販売や他の認証ベンダーへのソフト供給を禁止 |
この構造では、機器の製造元と実際に不正な収益活動を行う組織が異なっていても、バックドアを通じて端末を利用できる。追加プログラムを後から読み込めるため、機器の販売後でも機能を変更したり、新たな不正処理を追加したりすることが可能だった。そのためGoogleは、バックドアの制御基盤だけでなく、そこから導入された複数のマルウェア群の制御ドメインにも対策を広げている。
不正な収益化の代表例が「住宅用プロキシ」だ。これは第三者のインターネット通信を一般家庭の回線経由で中継する仕組みで、XCPEでは多数の追加モジュールがプロキシ機能や帯域共有に関係していた。Googleは「AppSalt/Honeygain」において、本来利用者の同意を必要とする処理を、同意画面を表示せずにoptIn()関数を呼び出して実行するコードを確認した。つまり、利用者が許可した覚えのないまま、家庭のインターネット回線が第三者の通信に利用される可能性があった。
広告不正を行う「HiddenView」というモジュールも確認された。HiddenViewは画面に表示されないWebViewでWebページを読み込み、クリックなどの操作を自動的に模倣する。テレビで動画を視聴している利用者には見えないところで、不正な広告アクセスやクリックが発生する仕組みだ。XCPEのバックドアは同意に関する設定を削除し、Google Play Protectのアプリ検証機能も無効化することで、こうした追加ソフトウェアを利用者の許可なく導入していた。
なお、三層構造がそのまま維持されていたわけではない。Googleによると、2026年8月以降にはcom.abc.nexusの一斉削除と時期を合わせるように、システムアプリを装った単機能の導入プログラムへ移行していた。マルウェアの構成は継続的に変更されており、特定のプログラムが削除されたからといって、端末が安全になったとは判断できない。
感染130万台超と追加1,000万台、遮断できた範囲は異なる
Googleが発表した数字には、区別すべき2つの規模がある。130万台超は、XCPEボットネットに組み込まれていたセットトップボックスの数だ。一方、追加の少なくとも1,000万台は、関連するマルウェア群の指令・制御ドメインを遮断することで、攻撃者からのアクセスを断てるとGoogleが見積もる侵害端末を指す。後者はXCPE以外の経路で侵害された端末も対象としており、XCPEそのものの感染台数に加算できる数字ではない。
GoogleはXCPEの入口となるドメインやサーバーに加え、そこから導入された十数種類のマルウェア群の制御ドメインにも法的措置を講じた。これにより攻撃者が端末に指示を送る経路を遮断できるが、端末内部に残されたバックドアや悪意あるファームウェアが削除されたわけではない。特にXCPEには再起動後にバックドアを再インストールする仕組みが確認されており、今回の遮断を全感染端末の修復完了と捉えることはできない。
観測された不正な処理も、プロキシや広告不正に限らない。Googleによれば、主な指令はモジュールのインストール、削除、設定変更だったものの、アカウント情報やログの外部送信、画面のライブ取得、キー入力に関する操作なども確認された。ただし、こうした機能が実際に使われたことと、すべての利用者から情報が流出したことは別であり、被害の範囲を一律に判断することはできない。
対象機器の大部分はAndroid TVセットトップボックスだったが、遠隔医療機器、カラオケ機器、デジタルサイネージなどでもXCPEの活動が観測されている。もっとも、Android TV搭載機器全般やMECOOLブランドの全機種が感染していたわけではない。日本国内の感染台数についても、今回の調査では具体的な数字が確認されていない。Googleは日本の警察庁を含む関係機関と協力し、ボットネットの通信基盤の遮断に加えて、問題のある機器を供給する側への対策も進めた。
今後の課題は、出荷後に追加されるコードの検証
XCPEの発見につながったのは、端末の動作不良ではなく、不審なネットワーク通信だった。Plumeの説明によると、同社は数カ月前に不審なドメインへの通信を発見し、各国の機器に共通する接続先を調査する中で、ファームウェアに組み込まれた不正なエージェントへたどり着いた。端末が正常に動画を再生していても、その裏側で家庭回線が不正に利用されている可能性がある。画面上の動作確認だけでは、こうした問題を発見するのは難しい。
Synthientは、不審な端末をインターネットから切断するよう推奨している。Googleも、信頼できるメーカーやアプリストアを選ぶこと、アプリの権限を確認すること、Google Play Protectを有効にすることなどを呼びかけた。ただし、これらは一般的な予防策であり、製造段階から組み込まれたバックドアを完全に除去する方法ではない。今回のようにファームウェア内部に再インストール機能が存在する場合、通常のアプリ削除や更新、初期化だけで安全な状態に戻せる保証は示されていない。
Googleは機器の供給元であるVideostrongに対しても措置を講じた。同社がGoogleアプリを事前搭載した機器を製造することを禁止したほか、将来の子会社や関連会社による認証Android機器の製造・販売、他の認証ベンダーへのソフトウェア供給も禁じている。さらに流通業者や小売業者に対し、他社ブランド向けに製品を設計・製造するODM（相手先ブランド向け設計・製造企業）の独立監査を実施し、問題に関与したメーカーを排除するよう求めた。これはブランド名や供給先を変えることで、同じバックドアが市場に再び持ち込まれるのを防ぐ狙いがあると考えられる。
Googleは今回の事案を受け、認証審査の手続きを見直し、認証Android TV機器のファームウェアの完全性を検証する仕組みも改善したと説明している。ただし、新たな審査要件の詳細は公表されておらず、同様の手口を完全に防げるかどうかは分からない。
XCPEが浮き彫りにしたのは、出荷時の安全性を確認するだけでは、販売後に追加される悪意あるコードを防ぎきれないという問題だ。今後は、誰が端末に新しいコードを供給できるのか、その権限と変更内容をどこまで検証できるのかが重要になる。Googleによる認証審査の見直しと、流通側の独立監査が、この問題にどこまで対応できるかが問われている。
