Android TVボックス乗っ取り130万台、自分の機種の確認方法は

Googleが11月2日、Android TVのセットトップボックス130万台以上を乗っ取っていたボットネット「XCPE」の指令サーバーを止めたと発表した。感染した機器は200を超える国と地域に広がっていた。仕掛けたのは、外からの攻撃者ではない。箱を作っていた中国・深圳のメーカー、Videostrong Technologyが自分でバックドアを仕込んでいた、とGoogleは高い確信度で評価している。うちの箱は、と思った人もいるだろう。

Googleは、このボットネットが金もうけのために意図的に作られ、動かされていたと書いている。Videostrongは乗っ取った機器に入る権利を犯罪グループに売り、相手のソフトを機器へ送り込んでいた。送り込まれたのは、見えない広告を裏で読み込んで金に換えるソフトや、機器の回線を他人の通信の中継に貸し出す住宅用プロキシのソフトだ。被害はテレビの箱だけではない。遠隔医療の機器、カラオケの機器、店先のデジタル看板にも感染が見つかった。

Googleはこの会社との関係を切った。Googleのアプリを載せた認証つきAndroid機器を作る許可を取り消し、今後できる子会社や関連会社もまとめて禁止にした。犯罪グループ側の指令ドメインを押さえたことで、別の経路で感染していた少なくとも1,000万台への道も断てる、としている。日本の警察庁も、この作戦に協力した。

うちの箱は大丈夫なのか

では、自分の機種はどうなのか。ここが、いちばん答えにくい。

Googleは感染機種の一覧を出していない。名前が挙がったブランドはMecoolとYOKATV。セキュリティ会社のSynthientは、2025年の後半にMecoolの「KM9PRO Max」を買い、最初からバックドアが入っているのを見つけた。ただ、ブランド名だけで全機種が感染していたとは言えない。

自分の箱がPlay Protect認証を受けているかは、Playストアを開いて右上のアイコン、設定、「このデバイスについて」の順に進めば分かる。けれど、今回はそれでは足りない。問題の箱は、その認証を受けていた。

認証の内側で起きたこと

これまでのAndroid TVのボットネットは、認証のない安い機器を狙っていた。今回は、内側で起きた。

Googleの説明では、Videostrongはコードを読みにくく加工し、機器が最初に起動したあとで悪いコードを読み込ませていた。試験のときには、何も出てこない。Googleはそのあと、認証の審査の手順と、ファームウェアが書き換えられていないかを確かめる仕組みを変えたと書いている。

買った人にとって重いのは、ここからだ。裏口はファームウェアの中にある。アプリとして消しても、電源を入れ直すと保護された領域から勝手に戻ってくる。システムと同じ強い権限で動き、Google Play Protectの設定を書き換えて止めてしまう。指令サーバーが止まっても、裏口そのものは箱に残る。

直す手は二つしかない。きれいなファームウェアを自分で焼き直すか、ネットから外して使うのをやめるか。どちらも、テレビの箱を買った人が普段やることではない。

ネットの評判

2ちゃんねるのスレッドをまとめたサイトには、「買う前から知っとる」「安いからといって中国製品を使うとこうなる」という声が並んだ。別のROMを焼いた、という対策の報告もあった。

海外の技術系掲示板Slashdotでは、この件に186件のコメントが付いた。多かったのは中国メーカーへの不信と、「では他社は」という問い返しだ。次はLGを調べてくれ、ほかのテレビメーカーも全部だ、どこもやっている、という趣旨の書き込みには賛同が付いた。これに対し、機器が記録を送ることと、ボットネットに使われることは別の話だと返す声もあった。IoT機器を家のネットから切り離す、という具体的な手順を書く人もいた。

11月4日の時点で、Videostrong側のコメントは報じられていない。Mecoolの公式サイトでは、バックドアが見つかった「KM9PRO Max」のページが「Sold out」になっている。定価は149.99ドル、日本円で約2万4,000円。その商品ページには、いまも「Google Certified Android TV Box」と書かれている。