分析

Google、Android TVボックス130万台のボットネットXCPEを無力化しメーカーVideostrongを排除

GoogleはXCPEが130万台超を組み込んだとし、Videostrongの関与を高い確度で結論づけて排除した。第三者の主張は未検証。

執筆： Audryk · 2026年11月3日

• #Google
• #XCPE
• #Videostrong
• #ボットネット
• #Android TV
• #サプライチェーン

2026年11月2日、Google Threat Intelligence Group（GTIG）は、XCPEに関する報告書を公開した。XCPEは同グループによれば130万台を超える機器を組み込んだバックドアで、その大半はAndroid TVのセットトップボックスである。Googleはこれを、高い確度で、深圳に拠点を置くAndroidのOEM/ODMメーカーVideostrong Technology Co.の仕業だと結論づけ、同社との関係を断ったと述べている。これはGoogleによる帰属判断であり、裁判所の判断ではない。私たちは何も検証していない。

要点

• Googleの説明：130万台を超えるボックスが組み込まれた。Videostrongの仕業だと高い確度で結論づけている。
• Googleの措置：関係を断ち、Videostrongに認定Androidデバイスの製造を禁じ、ボットネットのサーバーに対して法的措置を取った。
• 残るもの：サーバーは落ちたが、BleepingComputerによれば、バックドアは感染したボックスに残り、クリーンなファームウェアが必要になる。
• 確認できていないこと：感染がどこで起きたか、今も感染しているボックスの数、Videostrongの反応。

Googleは規模と帰属について何を述べているのか

Googleは、XCPEが130万台を超える機器を組み込んだと述べている。主にAndroid TVボックスで、Android搭載のIoT機器（遠隔医療、カラオケ、デジタルサイネージ）も一部含まれる。報告書は国を挙げていない。Googleはバックドアとボットネットの両方をVideostrongの仕業だとし、同社が意図的に、金銭目的で開発・展開・運用し、犯罪者の関連者にアクセスを売ったと説明している。Googleは、これが「an isolated rogue insider or a development oversight」、つまり単独の内部者の暴走や開発上の見落としではないと書いている。

これとは別に、Googleは今回の法的措置が、ほかの経路で侵害された少なくとも1000万台の別の機器へのアクセスも断つと見積もっている。ほかのメーカーの機器で、すべてがAndroidとは限らない。二つは別の数字であり、足し合わせてはならない。

出典：GoogleのGTIG報告書。

ソフトウェアはどうやってボックスに入ったのか

Googleによれば、主なバックドアはファームウェアのシステムパーティションにあらかじめ組み込まれ、システム権限で動き、アンインストールされると/oem/パーティションから自分を再インストールする。数年にわたり、多くのモデルとブランドに組み込まれた。Googleは、Videostrongが難読化を使ってGoogleの互換性・セキュリティテストの抜け穴を突き、初回起動の後に悪意あるコードを読み込ませたと述べている。

感染が工場で起きたのか、ファームウェアの中か、無線経由の更新かについて、Googleは明らかにしていない。Synthientは、BleepingComputerの引用によれば、2025年末に購入したMECOOL KM9PRO Maxにマルウェアが最初から入っているのを見つけた。したがって「工場出荷時から」という言い方は、Googleが述べていることを超えている。

Videostrongにどんな措置が取られたのか

Googleは、Videostrongとの関係を断った。同社と将来の子会社・関連会社に、認定Androidデバイスの製造・販売と、認定メーカーへのソフトウェア提供を禁じ、Googleアプリをプリインストールした機器の製造も禁じた。BleepingComputerはこれをライセンスの取り消しと表現している。Googleは審査の手順と、認定Android TVデバイスのファームウェアの完全性チェックも強化した。

ボットネットの指令用ドメインとサーバー、およびモジュールとして読み込まれた十数を超えるマルウェアファミリーの指令用ドメインを止めるため、法的措置を取った。パートナーには、日本の警察、Lumen、HUMAN Security、Plume、Synthient、TrendAIが含まれる。

ボックスには何が残り、Googleは何を勧めているのか

指令用サーバーは落ちたが、バックドアは機器に残る。BleepingComputerによれば、マルウェアは感染したボックスから除去されず、クリーンなファームウェアが必要で、ネットワークから外せば悪意ある活動は止まる。Google、BleepingComputer、Help Net Securityは、2026年8月以降、運営側がシステムアプリを装ったドロッパーを使っていると付け加えている。

Googleが消費者に勧めているのは、「帯域の共有」と引き換えに報酬を払うアプリに注意すること、信頼できるアプリストアを使うこと、第三者のVPNやプロキシアプリの権限を確認すること、Google Play Protectを有効にしておくこと、Android TVのパートナー一覧を通じて評判のよいメーカーのボックスを買うことである。

何が確定していないのか

出典：GoogleのGTIG報告書と報道（自動要約で閲覧）。

感染がどこで起きたか。今も感染しているボックスがいくつあるか。Videostrongの反応は報じられておらず、CyberScoopによれば、Googleはキャンペーンをいつ、どうやって見つけたかを明らかにしていない。Synthientの手がかりは報じられた内容で、当サイトでは検証していない。バックドアとVideostrongのR&D責任者のPDFが入ったサーバーの公開ディレクトリ、指令用サーバーとIPアドレスを共有していたvideostrong.cnというドメイン、バックドアの署名に使われたVideostrongのメールアドレスである。TrendAIの国別と米国の数字（比較表を参照）も検証しておらず、Googleの報告書は国を挙げていない。

比較表

よくある質問

Googleは、感染が工場で起きたと述べているのか

述べていない。バックドアはファームウェアのシステムパーティションにあらかじめ組み込まれ、多くのモデルに入っていたと説明しているが、どこで、いつ（工場、ファームウェア、更新）かは示していない。Synthientは、購入した時点ですでに感染していたボックスを見つけた。

無力化で感染したボックスはきれいになるのか

BleepingComputerによれば、ならない。サーバーは落ちたが、バックドアは残り、クリーンなファームウェアが必要になる。ボックスをネットワークから外せば、悪意ある活動は止まる。

130万台と1000万台は同じ数なのか

違う。130万台は、組み込まれたボックスについてのGoogleの数字である。少なくとも1000万台は、ほかの経路で侵害された別の機器についての、別の数字である。足し合わせてはならない。

方法と限界

GoogleのGTIG報告書、BleepingComputer、Help Net Security、CyberScoopは、自動要約を通して読んだもので、全文ではない。The Hacker Newsは直接取得するとエラー（403）が返ったため、読んだものとしては引用していない。国別と米国の数字はTrendAIのもの、Synthientの手がかりは報じられた内容で、どちらも検証していない。Videostrongの反応は見つからなかった。私たちは何も検証していない。個別の状況に合わせたセキュリティ助言ではない。

出典

• Google Threat Intelligence Group「Shutting the door on the XCPE botnet」（2026年11月2日）、自動要約で閲覧
• BleepingComputer（Lawrence Abrams、11月2日）、自動要約で閲覧
• Help Net Security（Mirko Zorz、11月2日）、自動要約で閲覧
• CyberScoop（11月2日）、自動要約で閲覧

この記事の誤りに気づかれましたか？ 報告する · 訂正ポリシー