テレビの箱130万台に裏口　Googleが中国メーカーVideostrongを追放

テレビのHDMIにさすだけで動画が見られる、手のひらサイズの箱。あれが、持ち主の知らないうちに広告詐欺の道具にされていた。Googleが11月2日、そう発表した。

数は130万台を超える。200以上の国に散っていた。箱を作っていたのは、中国・深圳のVideostrong Technology。Googleは、この裏口と、それで作られたボットネットは、Videostrongが金もうけのために意図的に作って動かしていた、と高い確度で見ていると書いた。うっかり入り込んだウイルスではない、ということだ。

ボットネットへの妨害には、日本の警察庁も加わっている。Googleはほかに、Lumen、HUMAN Security、Plume、Synthient、TrendAIと組んだ。

持ち主の家の回線が、知らない誰かの出口になっていた

で、箱は何をさせられていたのか。

一つは広告詐欺。画面に出ない小さなブラウザを裏で開き、広告を再生して「見た」回数を稼ぐ。持ち主がテレビを消しているあいだも、箱は広告を見続ける。見ていない広告に、どこかの広告費が払われる。

もう一つは住宅用プロキシだ。箱の回線が、他人の通信の出口として貸し出されていた。英The Registerは、6月から10月のあいだに、この仕組みにつながった家庭や携帯の380万のIPアドレスが記録されたと伝えた。

裏口には、ほかの働きもあった。画面の撮影、キー入力の差し込み、アカウント情報の持ち出し、家のネットの中ののぞき見、そして勝手なアプリの追加。Googleの見守り機能であるPlayプロテクトは、設定の書き換えで止められていた。

持ち主は被害に遭った側だが、広告費を抜く仕組みと、誰かの通信の中継に使われていた。被害者と道具の役を、同時にやらされていたと読める。

消しても、再起動で戻ってくる

では、消せばいいのか。それが、できない。

裏口は「x.cpe」という名前で、箱のファームウェアに最初から入っていた。Androidのシステムと同じ権限で動く。消しても、再起動すると/oem/という領域から自分を入れ直す。米BleepingComputerは、初期化しても消えないと伝えた。きれいなファームウェアを入れ直すか、箱をネットから抜くしかない、とも書いている。

Googleは、Videostrongとの取引をやめた。この会社と、将来の子会社や関連会社が、認定されたAndroid端末を作って売ることも、ほかの認定メーカーにソフトを渡すことも禁じた。命令を出していたサーバーとドメインは、法的な手続きで止めた。この止め方で、別の経路でつながっていた1000万台以上の機器にも、犯罪側から手が届かなくなるとGoogleは見ている。

ただ、持ち主の箱は直らない。返金や交換の話は、出典には出てこない。専門家の言うことも割れている。Synthientは、ほかのマルウェアも入っている危険が高いとして捨てるよう勧めた。Plumeは初期化を挙げ、TrendAIはメーカーの対応か買い替えが必要だとした。

自分の箱は大丈夫なのか

自分の箱が感染しているかどうかは、どう見るのか。Googleは、感染した型番の一覧を出していない。米BleepingComputerが例に挙げたのは「MECOOL KM9PRO Max」の1機種だけだ。日本で同じ型番がどれだけ売られているかは、今回の出典では確かめられなかった。

できるのは、まずPlayプロテクト認定を見ることだ。Playストアを開き、プロフィールの絵から設定へ進み、「このデバイスについて」で分かる。

ただ、この確認だけでは足りない。Videostrongの箱は、認定を通っていた。Googleは、テストの隙を突かれたと認めている。悪いコードは、最初の起動が終わったあとに読み込まれる作りだった。

Googleが買う側に勧めているのは、二つ。信頼できるメーカーの機器だけを買うこと。そして「使っていない通信量でお金がもらえる」「回線を共有すると稼げる」と言ってくるアプリを、強く警戒すること。そういうアプリが、違法なプロキシ網を太らせる主な入口になっているという。

Googleは、認定したAndroid TV端末のファームウェアを検品するやり方も直すと書いた。130万台が、もう居間に置かれたあとだ。