Google、Android TVボックス130万台超のXCPEボットネットを停止　メーカーのVideostrongが意図的にバックドアを組み込んだと断定

Googleによると、バックドア「x.cpe」はandroid.uid.system権限で動き、ファームウェアのパーティションにあらかじめ入っていた。ユーザーが削除しても、再起動すると/oem/パーティションから再インストールされる。Videostrongは複数年にわたり多くの機種やブランドにこれを組み込み、犯罪者にアクセスを売って、広告詐欺、家庭用プロキシ網への登録、追加マルウェアの導入などに使わせていた。初回起動後に悪性コードを読み込む難読化で、Googleの互換性・セキュリティ試験をすり抜けていた。Googleは法的措置で制御用のドメインとサーバーを停止し、このバックドア経由で入っていた十数種のマルウェアのC2ドメインも止めた。これにより、ほかの経路で感染した少なくとも1,000万台への攻撃者のアクセスも断てたとしている。日本の警察庁、Lumen、HUMAN Security、TrendAIなどが協力した。TrendAIは6月から10月までに206機種で約147万台の感染を数えている。感染した端末のバックドアは残ったままで利用者自身では消せないため、クリーンなファームウェアの導入か、ネットワークからの切り離しが必要とされる。Googleは認定Android TV機器のファームウェア検証も強化する。