Googleは2026年11月2日、130万台以上のAndroidベースのセットトップボックスをボットネットに組み込んでいた「XCPE」バックドアを解体したと発表しました。関連する指令サーバーも停止し、追加デバイスへのアクセス遮断も評価しています。

何が起きたのか

Googleによると、XCPEは主にAndroid TVのセットトップボックスにファームウェアとして組み込まれ、システムレベルの権限で動作しました。端末をC2（指令・制御）サーバーへ接続してボットネット化し、広告詐欺、データ窃取、悪意ある通信の中継、レジデンシャルプロキシ（家庭回線を中継点にする仕組み）などに悪用されていたとされています。Androidベースのテレヘルス機器、カラオケ機器、デジタルサイネージでの感染も確認されています。

影響と注意点

感染端末は世界中に分布していました。レジデンシャルプロキシとして悪用されると、家庭内ネットワークに置かれた機器が第三者の通信を中継するために使われ得ます。今回、Googleは法的措置でVideostrongが使用していたドメインとサーバー、十数種類を超える関連マルウェアファミリーのC2ドメインを停止し、XCPE以外の経路で侵害された少なくとも1000万台の追加デバイスへのアクセスも遮断できると評価しています。

コンサルタントのひとこと

まず、社内や拠点で使っているセットトップボックスや動画視聴用端末の型番と設置場所を洗い出し、管理者を明確にしてください。次に、用途不明な端末が外部と通信していないかを確認し、必要に応じて撤去や隔離を検討しましょう。ファームウェアに組み込まれるタイプはアプリ削除だけでは不十分な場合がある点に注意してください。

参照: Googleが「XCPE」バックドアをテイクダウン、130万台超のAndroid TVセットトップボックスによるボットネットを無力化（サイバーセキュリティ総研）