Michael JohnsonVideostrong製のファームウェアを搭載したAndroidテレビ用セットトップボックスを所有している場合は、端末の出所を確認しよう。Googleは11月2日、パートナーとともに、130万台を超えるセットトップボックスが組み込まれたXCPEボットネットの活動を妨害したと発表した。この作戦の一環として、Googleは指令サーバーと悪意あるドメインの無効化を進め、VideostrongにはGoogleアプリをプリインストールした認定Android端末の製造が禁じられた。Googleが公表した作戦の詳細によると、複数機種のファームウェアに組み込まれたバックドアへの対処だった。
何が無効化されたのか
Google Threat Intelligence Groupによると、XCPEはファームウェアに組み込まれたコンポーネント「x.cpe」を利用していた。このコンポーネントは指令サーバーに接続し、指示を受け取り、追加モジュールをダウンロードしていた。Googleは、Videostrongがボットネットの運用や悪意あるコンポーネントのインストールに使っていたドメインとサーバー、および十数種類を超えるマルウェアファミリーの指令用ドメインに対して、法的措置を講じたと発表した。
この作戦には、日本の警察庁、Lumen、HUMAN Security、Plume、Synthient、TrendAIが参加した。Googleはまた、Videostrongと、今後設立される同社の子会社および関連会社に対し、認定Android端末の製造・販売と、他の認定メーカーへのソフトウェア提供を禁じたと発表した。同社はAndroid TVのファームウェア完全性チェックにも変更を加えたと説明している。
「活動を妨害した」という表現は、すべてのテレビを即座に駆除したという意味ではない。Googleが説明しているのは、指令インフラと関連ドメインの遮断であり、すでに販売されたすべてのセットトップボックスのファームウェアを遠隔修正したとは発表していない。サーバーの無効化により、運用者は重要な指令経路やモジュール配布経路を失うが、それだけでインストール済みソフトウェアが書き換わるわけではない。
なぜ感染は再起動後も残ったのか
悪意あるコンポーネントはファームウェアのシステム領域に存在していた。Googleによると、x.cpeはシステム権限で起動し、ユーザーが通常のデータ領域からアプリを削除した場合でも、再起動後に自身のコピーを復元できた。そのため、Androidの設定から不審なアプリを探して削除しても、セットトップボックスが駆除されたとは限らなかった。
バックドアは指令インフラとの接続を維持し、アプリの隠密なインストール、シェルの起動、データ収集を指示するコマンドを受け取ることができた。Googleは、スクリーンショットの取得、コマンドの入力、アカウントやシステム情報の送信、スクリプトの実行を確認したと発表した。ダウンロードされたモジュールは、端末を住宅用プロキシネットワークのノードにしたり、広告詐欺に利用したりしていた。一部のモジュールは、さらに別のマルウェアをインストールしていた。
その結果、通常のテレビ用セットトップボックスが、他者のネットワークインフラの一部になってしまう。家庭のインターネット接続を経由する通信は、実際には遠隔の運用者が端末に命令を実行させていても、ユーザー自身の通信に見える可能性がある。Googleは、広告の不正表示やデータ送信も確認された用途として挙げている。
セットトップボックスの所有者がすべきこと
まず、端末の正確なブランドとモデル、ファームウェアの製造元、認証に関する情報を確認しよう。ブランド名だけでは感染の有無は判断できない。Googleによると、Videostrongのソフトウェアは多数の機種やブランドに搭載されていたため、端末の出所とファームウェアが重要になる。Android TVの公式パートナー一覧の最新情報と、販売店またはメーカーの資料を照合しよう。
端末の出所を特定できない場合や、影響を受けたエコシステムに属している場合は、ネットワークから切断し、販売店またはメーカーに連絡して、交換またはファームウェア再書き込みの確認済み手順を尋ねよう。Googleの説明では、問題のコンポーネントはシステムファームウェアに保存され、再起動後に復元されるため、初期化やアプリ削除だけで十分だと考えるべきではない。フォーラムなどから出所不明のファームウェアイメージをインストールするのも避けよう。誤ったイメージは端末を使用不能にしたり、新たなリスクを招いたりするおそれがある。
セットトップボックスでアカウントにログインしていた、または個人情報を表示していた場合は、別の信頼できる端末からアカウントのアクティビティを確認し、不正アクセスの兆候があればパスワードを変更しよう。これはアカウントを保護するための措置であり、セットトップボックス自体を駆除するものではないため、端末への対処は別途決める必要がある。
作戦後に残る課題
Googleは、XCPEをVideostrongによるバックドアの意図的なインストールと商業利用に関連付けている。また同社は、関連モジュールの指令用ドメインを無効化することで、XCPE以外にも、さらに1,000万台を超える侵害端末からアクセスを奪える可能性があると推定している。これは共通インフラへの対策による潜在的な効果についてのGoogleの推定であり、駆除が確認された端末の台数ではない。
ユーザーにとっての実用的な結論は明快だ。出所不明のセットトップボックスやVideostrongのファームウェアを使う端末では、アプリの削除や再起動だけで安全性を確かめることはできない。手動で目に見えるコンポーネントを一つ削除しようとするより、機種と出所を確認し、端末を交換するか、確認済みの方法でファームウェアを復旧するほうが妥当だ。
