本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
Googleは2026年11月2日公開の公式ブログで、130万台超のセットトップボックスを組み込んだボットネット「XCPE」の制御基盤を、警察庁や民間企業と連携して前週に停止したと発表した。開発・運用に関与したと評価する機器メーカー、Videostrong Technologyに対し、認定Android機器の製造・販売などを禁止する措置も取った。
メーカーの関与を評価、認定機器の審査も見直し
Googleは、Videostrongが利益を得る目的でXCPEを意図的に開発・配置・運用していたと「高い確信」をもって評価している。Googleの説明によると、Videostrongは犯罪グループにアクセス権を販売し、広告不正や住宅回線を経由した通信の中継、追加のマルウェア導入に利用させていたという。
禁止措置は、Videostrongと将来の子会社・関連会社による認定Android機器の製造・販売に加え、他の認定ベンダーへのソフトウェア供給も対象とする。
Googleは、自社のテストでは、コードの内容を分かりにくくする難読化と、初回起動後にコードを読み込む仕組みによって審査の隙を突かれたと説明した。審査プロセスを変更し、認定Android TV機器のファームウェアが変更されていないかを確認する仕組みの改善も進めている。
端末に残るバックドア、継続対応が必要
Googleの解析では、XCPEは機器の基本ソフトに当たるファームウェアに組み込まれ、利用者が削除しても再起動時に再インストールされる。従来は通信を担当するバックドア、外部の実行エンジン、収益化用モジュールが役割を分担する構造だった。2026年8月以降には、従来の汎用実行エンジンを個別のモジュールを読み込む仕組みに置き換える動きも確認された。感染機器の大半はAndroid TV用セットトップボックスで、遠隔医療用機器やカラオケ機器、デジタルサイネージでも感染を観測したとしている。
今回停止したのは、端末を制御するためのドメインやサーバーだ。警察庁も、関東管区警察局サイバー特別捜査部と福岡県警察がGoogleと連携し、同社が米国で法的措置などを行って関連基盤の停止に至ったと発表している。
Googleは、関連モジュールの制御基盤を停止することで、追加の感染機器少なくとも1000万台へのアクセスを遮断できると見積もった。この数にはXCPE以外の経路で感染した機器も含まれる。一方、制御基盤の停止だけでは端末内のマルウェアは除去されない。Googleは一度の停止で対応が終わるとはしておらず、相互につながるバックドア、広告不正、通信中継事業者のインフラへの継続対応が必要だと説明している。
参考・出典
- Shutting the Door on the XCPE Botnet
- Google社と連携した犯罪インフラのテイクダウンについて
- The Internals of a Badbox Operation
- XCPE ボットネットを完全封鎖：Google による脅威への対抗と詳細解析
- Google disrupts million-device XCPE Android malware botnet, bans TV box maker
- Tech Firms Dismantle Botnet That Turned 1.3M TV Boxes Into Proxies
- MECOOL KM9PRO MAX 4K GTV Streaming Box
