ハードウェア出荷時から潜む脅威：Android TVボットネット「XCPE」に見るサプライチェーンリスク｜ブログ(ほぼこもセキュリティニュース)

2026年11月、Google Threat Intelligence Groupおよび国際的なパートナー機関（日本の警察庁、HUMAN Security、Lumen、Plume、Synthient、TrendAIなど）は、世界200カ国以上・130万台以上のデバイスを巻き込んでいた大規模ボットネット「XCPE」の解体作戦（テイクダウン）を実施したと発表しました。
本脅威の主たる要因は、AndroidデバイスのOEM/ODM製造元である中国のVideostrong Technology Co.が、製造するAndroid TVセットトップボックス等のファームウェアに意図的にバックドア（x.cpe）を事前組み込み（プリインストール）して出荷していた点にあります。
Videostrong社はこの不正アクセス権をサイバー犯罪アフィリエイトに販売・貸与し、感染デバイスを中継した広告詐欺や住宅用プロキシ（Residential Proxy）ネットワークの構築、追加マルウェアの配信を行って組織的に利益を得ていました。
これを受け、GoogleはC2（コマンド＆コントロール）インフラや関連ドメインの法的差し押さえ・遮断を行うとともに、Videostrong社との提携を解消し、同社および関連会社が今後Google認証端末を製造・販売することや、他の認定ベンダーへソフトウェアを供給することを禁止（エコシステムから永久追放）しました。
なお、連携して無力化されたアフィリエイト側のC2インフラ遮断も含めると、波及効果として世界で推定1,000万台以上の侵害端末へのアクセスが断たれたと報告されています。
特徴的な部分をみてみましょう。

サプライチェーン悪用（出荷時ファームウェアへのバックドア組み込み）
- 解説
  ユーザが不審なサイトからアプリをダウンロードしたのではなく、工場出荷段階のファームウェア（システム領域）に最初からバックドアが埋め込まれていました。
- 技術的特徴
  権限の高い android.uid.system レベルで動作し、ユーザが手動でアンインストールを行っても、再起動時に /oem/ パーティションから自動再インストールされる強力な永続化（パーシステンス）メカニズムを備えていました。
  認証テストをすり抜けるため、初回起動完了後に悪意あるコードを段階的に読み込ませる難読化手法を用いていました。
階層化・モジュール化された3段階アーキテクチャ
検知回避とアフィリエイトへの多重貸し出し（マルチテナント運用）を目的として、役割が明確に分離されていました。
1. Primary Backdoor（x.cpe / com.oemservice）
  C2サーバとの通信確立および全体の制御・オーケストレーションを担当。
2. Loader / Execution Engine（com.abc.nexus 等）
  サンドボックス解析妨害（アンチアナリシス）を備え、IPC（プロセス間通信）経由で x.cpe から指示を受け取り、各悪意あるモジュールを展開・実行。
3. Monetization Modules（収益化モジュール）
  犯罪アフィリエイトが開発した個別モジュール。ネイティブELFデーモンやSDK、外部から取得した二次APKとして動作。
軽量IoTプロトコル「MQTT」を用いたリアルタイムC2制御
- 解説
  通常のWeb通信（HTTP POST）で初期ブートストラップ設定や端末識別情報（シリアル番号、MACアドレス、モデル）、STUNサーバー設定を取得した後、リアルタイム通信プロトコルであるMQTT（Message Queuing Telemetry Transport）を確立します。
- 技術的特徴
  低帯域や不安定なネットワーク環境でも軽量に動作するMQTTのトピック機能を利用し、コマンド受信、シェル実行結果の返信、画面キャプチャの送信を低遅延で双方向通信していました。
セキュリティ機構の無効化と広範な遠隔操作機能
- Google Play Protectの強制無効化
  Settings.Global の内部パラメータ package_verifier_user_consent を直接 -1 に書き換え、セキュリティスキャンを無効化。
- 任意コマンド・シェル実行
  システム権限での任意シェルコマンド実行やリバースシェルの確立。
- 画面監視・キー入力注入
  隠しAPI（SurfaceControl）を利用した画面キャプチャ（JPEG圧縮してC2へ送出）や、キーストロークのシミュレーション（Instrumentation.sendKeyDownUpSync）。
- ネットワーク偵察
  端末内部のネイティブバイナリ（libtraceroute.so など）を用いて家庭内LANのIP探索、PING、AS-lookup（WHOIS）を実行。
住宅用プロキシと広告詐欺（Ad-Fraud）による多角的な収益化
- 住宅用プロキシノード化
  一般家庭のIPアドレスを踏み台にできる「住宅用プロキシ（Linkfog, AppSalt, NetNut等）」のエグジットノードとして悪用。
  サイバー犯罪者が一般家庭の正規回線を経由して不正アクセスや攻撃トラフィックを中継させる温床となっていました。
- 広告不正（CBOXTV, HiddenView等）
  ユーザが視聴していないバックグラウンドで不正な広告リクエストや動画再生を偽装発生させ、広告費を詐取していました。

XCPEボットネット事案は、「正規のハードウェア製造元（OEM/ODM）が利益追求のために組織的にマルウェアを仕込んで出荷していた」という、サプライチェーンセキュリティにおける深刻な信頼崩壊（Breach of Trust）を示す典型例です。
出荷時リセット（Factory Reset）を行ってもファームウェア領域から復活するため、一般ユーザの自衛措置だけでは排除が極めて困難な構造となっていました。
今回はGoogleおよび国際捜査機関・セキュリティベンダーによるC2サーバ群の包括的テイクダウンにより通信網は遮断されましたが、安価なノーブランド端末や製造サプライチェーンが不透明なサードパーティ製デバイス、そしてサプライチェーン全体におけるハードウェア・ファームウェアの完全性担保（Integrity Verification）の重要性を改めて浮き彫りにした脅威といえます。

当然ながら安価な製品群のすべてに悪意があるわけではありませんが、サプライチェーンの透明性に欠けるデバイスは攻撃者の足場になりやすいのも事実です。
「低価格であることのリスク」を考慮し、認証状況の確認やネットワーク分離（VLAN設定など）を含めた適切な警戒・運用が推奨されます。

Shutting the Door on the XCPE Botnet
https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet/?hl=en