安価な Android TV ボックスは「消しても戻る」バックドアを疑う：XCPE ボットネット
Google が解体を公表したボットネット XCPE では、セットトップボックスのファームウェアに残る起動用プログラムが、起動のたびに /oem のパッケージを /data/app へ再導入するため、アプリを削除してもバックドアが戻る。Google は 130 万台超への組み込みを、端末メーカー Videostrong が金銭目的で意図的に行ったと高い確度で評価している。
仕組み（防御のために知っておくこと）
- バックドア
x.cpeはシステム権限で動き、Google Play Protect のアプリ検証を無効にする。 - 端末へのアクセスは提携する犯罪者に売られ、広告詐欺やレジデンシャルプロキシー化のモジュールが読み込まれる。画面撮影、キー入力の注入、アカウント情報の持ち出し、リバースシェルも観測されている。
- 難読化でテストの検出を逃れ、初回起動後に不正なコードを読み込ませていた。2026 年 8 月以降はシステムアプリを装い root 権限でシステム領域に書き込む亜種も出ている。
- 感染の大半は Android TV ボックスだが、遠隔医療機器、カラオケ機、デジタルサイネージでも見つかっている。
対策
- 家庭でも会社でも、テレビ用ボックスやサイネージは信頼できるメーカーの Play Protect 認定品を選ぶ（Google も信頼できるメーカー製品だけを買うよう呼びかけている）。Videostrong は認証済み端末の製造・販売を禁止された。
- 出所の分からないボックスは、アプリ削除や初期化で「きれいになった」と考えない。ファームウェアに再導入の仕組みがあるので、使用をやめて交換する。
- 交換できない機器は、社内 LAN や家庭の主要ネットワークから分け、ゲスト用や IoT 用のネットワークに隔離する。そのボックスでは Google アカウントや業務アカウントにログインしない。
- 自宅や拠点の回線が知らないうちに他人の通信の出口（レジデンシャルプロキシー）にされることがある。不明な外向き通信量の増加に気をつける。