ガジェットがたり

テレビにつなぐMECOOLなどのAndroid TVボックスに製造元が仕込んでいたバックドアXCPEをGoogleが遮断

Close-up of a wooden door with a metal handle casting a shadow in the sunlight.

テレビにつなぐAndroid TVボックスのメーカーVideostrong Technologyが、出荷前のファームウェアにバックドアXCPEを入れ、130万台を超える端末を犯罪に使わせていた。Googleは日本の警察庁などと組んで制御用のサーバを止め、同社を認定済みのAndroid端末の製造から締め出した。

テレビにつないで動画アプリを見るための小さな箱、Android TVボックスを作っている中国のVideostrong Technologyが、自社の製品に外から操るための裏口（バックドア）を仕込んでいました。Googleの脅威分析チームGoogle Threat Intelligence Groupのブログによると、このバックドアXCPEに感染した端末は130万台を超え、Videostrongは裏口を使う権利を犯罪者に売ってお金にしていました。Googleは10月の最後の週に、日本の警察庁や米国のセキュリティ企業のLumen、HUMAN Securityなどと組んで、端末に指示を出すサーバを止めています。

Videostrongは、MECOOLという自社のブランドでTVボックスを売るほか、他社の名前で売られる端末も作っています。そのため、箱にMECOOLと書かれていないTVボックスにも、XCPEが入っている可能性があります。ニュースサイトのBleepingComputerによると、XCPEは2025年の終わりにMECOOL KM9PRO Maxという機種で見つかりました。感染した端末の大半はTVボックスでしたが、遠隔医療の機器やカラオケの機械、店頭のデジタルサイネージ（電子看板）にも入っていました。

消しても再起動で戻るXCPE

XCPEは、本体のソフト（ファームウェア）の中の/oem/という領域に、出荷する前から置かれていました。システムと同じ強い権限で動くので、使う人がアプリの一覧から消しても、再起動すると/oem/から入り直します。設定から初期化しても、出荷時の状態そのものにXCPEが含まれている以上、端末はバックドアが入った状態に戻ります。

Google Threat Intelligence Groupによると、XCPEは指示を受けて、ほかのアプリを黙って入れたり、システムの権限でコマンドを動かしたり、画面を撮ったりできました。2026年8月には、システムのアプリに見せかけた別の名前のパッケージに入れ替わり、さらに見つけにくくなっていました。

家のネット回線が他人の通信の抜け道に

Google Threat Intelligence Groupの調べでは、XCPEを通して端末に送り込まれていた不正なモジュールは12種類以上ありました。いちばん多かった使い道は住宅用プロキシで、TVボックスがつながっている家庭の回線を、よその誰かの通信の中継に貸し出すものです。中継された通信は外から見ると持ち主の家から出たように見えるので、不正なログインや詐欺を働く側は、自分の居場所を隠したまま普通の家庭のふりができます。このほか、見えない広告を裏で表示させてクリックしたことにする広告詐欺や、別のバックドアを追加で入れるモジュールもありました。

Google Play プロテクトがオンでも

Google Play プロテクトは、端末に入るアプリを調べて危ないものを止めるAndroidの機能です。Google Threat Intelligence Groupの助言では、TVボックスを安全に使うにはこの機能をオンにしておくことも大事ですが、XCPEはその設定を自分で切る作りになっていました。アプリを入れるときの確認を外したうえで、ほかのアプリを黙って入れていたので、Google Play プロテクトによる見張りはそもそも働きません。XCPEが入った端末では、Google Play プロテクトの表示がオンでも安心の材料になりません。

ニュースサイトの9to5Googleによると、これらはGoogleの認定を受けた端末でした。Google自身の調べでは、Videostrongは難読化（コードを読み解きにくくする細工）でGoogleのテストの隙を突き、最初の起動のあとで悪いコードを読み込ませていました。テストに通る中身のまま出荷し、買った人の家で電源を入れてから中身を足す手口だったので、認定のテストでは引っかかりませんでした。Googleはこれを受けて、認定済みのAndroid TV端末のファームウェアを確かめる仕組みを強め、メーカーを審査する手順も改めました。

Videostrongの処分と手元のTVボックス

Googleは制御用のドメインとサーバを法的な手続きで止め、Videostrongとの取引を打ち切りました。今後は子会社や関連会社も含めて、認定済みのAndroid端末を作って売ることも、認定済みの他社にソフトを渡すことも禁じています。制御用のドメインが止まったことで、XCPEの130万台とは別に、不正なモジュールが入っていた少なくとも1,000万台の端末も外との接続を断たれました。

手元のTVボックスがVideostrongの製品だったとしても、指示を出すサーバが止まった今は、裏口が残っていても命令が届きません。9to5Googleの見立てでは、これで端末は安全になるはずですが、別の端末に替えるのも一つの手です。BleepingComputerによると、XCPEそのものは/oem/に残り続けるので、手を打つにはきれいなファームウェアを入れ直すか、端末をネットから外すしかありません。ネットにつながないTVボックスでは、動画アプリは見られません。

広告

Amazon Fire TV Stick HD | 手軽にストリーミングをはじめよう | ストリーミングメディアプレイヤーAmazon.co.jpで見る

関連動画

出典

  1. Shutting the door on the XCPE botnet（Google Threat Intelligence Group）
  2. Google disrupts million-device XCPE Android malware botnet, bans TV box maker（BleepingComputer）
  3. Google shuts down a sneaky malware backdoor on millions of Android TV and Google TV boxes（9to5Google）
  4. ITmedia NEWS（2026年11月4日）
  5. メーカー自身がバックドアを仕込み、犯罪集団に“販売” 乗っ取られたTV用端末130万台超、Googleが遮断 日本の警察庁も参加（ITmedia PC USER）
  6. サムネイル写真: Photo by Matt Barnard on Pexels

関連する記事