要点
- Google によると、Android の TV ボックスなど130万台を超える機器に、工場で入れられた裏口（持ち主に隠れて外から操るための仕組み）があり、乗っ取られた機器の群れ（ボットネット）として使われていた。
- Google は、中国・深圳の機器メーカー Videostrong が裏口を自分で作って動かし、犯罪者にその裏口を使う権利を売っていたと「高い確度」で判断した。
- 裏口は持ち主が消しても、再起動すると元に戻る。Google は操るためのサーバーを止めたが、機器の中から裏口が消えたわけではない。
何が起きたか
Google の脅威情報チームは2026年11月2日（米国時間）、「XCPE」と呼ぶボットネットを、ほかの会社と一緒に止めたと発表した。止めたのは発表の前の週だという。裏口の本体は、x.cpe という名前のプログラムだ。
Google がとった手は大きく二つある。一つは法的な手続きだ。ボットネットの司令塔にあたるドメインとサーバーを止め、裏口から入れられていた十数のマルウェアが使う通信先も押さえた。Google は、これで別に乗っ取られていた少なくとも1,000万台の機器へのつながりも切れるとみている。どの裁判所の手続きかは、発表に書かれていない。もう一つは、メーカーの締め出しだ。Google はこのメーカーとの取引を打ち切り、Google が認定する Android 機器に、今後は関われないようにした。
締め出されたのは、深圳の機器メーカー Videostrong Technology だ。Google は「高い確度」で、この会社が裏口とボットネットを作って動かし、それでお金をかせいでいたとみている。Google の見方では、裏口を通じて機器に別のプログラムを入れる権利が犯罪者側に売られていた。一部の社員の勝手な行動や手違いでは説明がつかない、とも Google は書いている。
Google の説明では、裏口は出荷の時点から、機器の基本ソフトのシステム領域に入っていた。見つかった機器の大半は Android の TV ボックスだが、遠隔医療の機器や電子看板など、ほかの Android 機器にも入っていた。
裏口から入れられたプログラムがしていたことは、Google によると三つある。機器を勝手に住宅プロキシ（家の回線を他人の通信の中継に貸す仕組み。犯罪者が身元を隠すのに使われやすい）に加えること、広告詐欺、さらに別のマルウェアを入れることだ。
裏口は Google Play プロテクト（アプリを調べて危ないものを止める Google の仕組み）を勝手に切っていたと、Google は書いている。画面を撮る、キー操作を送り込む、といった機能もあった。Google の検査をすり抜けるため、悪いコードは最初の起動のあとで読み込まれるようにしてあったという。
日本の利用者への影響
Google は、日本の警察庁と一緒に動いたと書いている。ほかに Lumen、HUMAN Security、Plume、Synthient、TrendAI も加わった。警察庁が何をしたかは、Google の発表には書かれていない。
日本で何台が乗っ取られていたかは、Google の発表では分からない。The Hacker News は TrendAI の数え方として、多かった国にマレーシア、ブラジル、イラク、メキシコ、台湾を挙げている。日本は挙がっていない。
調べた会社の Synthient は、今回のキャンペーンで見られた182の機種名の一覧を公開した。MECOOL の名で売られる KM9PRO、KM2PLUS などのほか、TX3MINI や M8S_PLUS といった名前もある。ただ、同じ機種が日本の通販で売られているかは、今回は確かめられなかった。Synthient は、機種の名前だけでは乗っ取られたとは言えないと注意している。
Android の TV ボックスを持っている人は、下の確かめ方を一度試すとよい。
今すぐやること
- 機種の名前を確かめる。 箱や設定画面の「デバイス情報」で型番を見る。MECOOL や Videostrong の製品、または Synthient の一覧にある名前なら、疑ってかかる。
- Play プロテクト認定を確かめる。 機器の Google Play ストアの設定の中に「Play プロテクト認定」の項目がある。「認定されていません」なら、その機器の互換性テストの結果の記録が Google に無いということだ（Google の確かめ方の説明）。ただし、ブートローダーのロック解除や root 化で「認定されていません」になることもある。また今回は、認定の機器も乗っ取られていたと Plume が報告している。認定だけで安心はできない。
- 怪しい機器はネットから外す。 電源を抜くか、Wi-Fi の設定を消し、LAN ケーブルを抜く。家のルーターの管理画面で、その機器をつながせない設定にしてもよい。Google によると、裏口は持ち主には消せず、消しても再起動で入り直す。初期化で消えるかは、Google の発表には書かれていない。買い替えを考える。
- 「使っていない回線を貸すとお金がもらえる」アプリは入れない。 Google はこの種のアプリに強く気をつけるよう勧めている。
- 次に買うときは、知られたメーカーの機器にする。 Google は、評判のよいメーカーから買うこと、Android TV の認定パートナー一覧を見ることを勧めている。
背景
工場出荷時から裏口が入った TV ボックスでは、似た例がある。Google は2025年7月にも、BadBox 2.0 と呼ばれる、認定を受けていない1,000万台を超える機器を使った犯罪グループを訴えた。
今回は、Google がメーカー自身を裏口の作り手と名指しした。また Videostrong のサイトには「Google 認定」の TV ボックスとスティックが載っていたと、The Hacker News は報じている。Google は、メーカーを調べる手順を変え、認定の Android TV 機器の基本ソフトの検査を強めたとしている。
技術者向けの詳細
- 裏口の本体: パッケージ
x.cpe（一部の版ではcom.oemservice）。android.uid.systemの権限で動き、アンインストールしても再起動で/oem/から入り直す。 - ローダー:
com.abc.nexus。2026年8月以降は、システムのアプリを装ったcom.android.system.ntp、com.android.sso.auth.handlerも見つかっている（Google）。 - 通信先の例（Google の IOC より）:
anyevonline[.]com、szbboys[.]com、mqtt.szbboys[.]com（ポート 3885〜3887）、intermedia-arts[.]tv、yokatvonline[.]com。家のネットの DNS やファイアウォールの記録で、これらへの通信がないかを見るとよい。 - 入っているパッケージを見る（ADB をつなげる場合）:
adb shell pm list packages | grep -E "x\.cpe|com\.oemservice|com\.abc\.nexus|com\.android\.system\.ntp|com\.android\.sso\.auth\.handler"
- 入れられたプログラムの例（Google の分け方）: 住宅プロキシ（Linkfog、Jaguar、Honeygain/AppSalt、IPWeb、GaGaNode、NetNut、Traffmonetizer、EarnFM）、広告詐欺（HiddenView）、裏口（Spirit、Moyu、Bird、Fission）。
- Synthient が調べた機器は MECOOL KM9PRO（SoC は Realtek RTD1325）。機種の一覧とファイルのハッシュは Synthient の GitHub にある。全部の IOC は Google の発表の末尾にある。
