あなたのAndroid TVボックスはエンターテインメントをストリーミングしている間に、犯罪者が追跡を隠すためにあなたのインターネット接続を利用している可能性がある。
Googleは、130万台を超えるAndroid端末が侵害されたとされるXCPEボットネットを停止させた。同社によると、メーカーのVideostrong Technologyが端末のファームウェアにバックドアを埋め込んだ疑いがあり、犯罪者が無警戒なユーザーの住宅用IPアドレスを経由して悪意あるトラフィックを送信できる状態になっていた。
さらに、余ったテレビの帯域幅を犯罪活動の隠蔽に使うだけでなく、Googleによると、運営者は広告詐欺や追加のマルウェア配布も支援していた。
この発見とその後の停止は、増大するサイバーセキュリティ上の問題を浮き彫りにしている。攻撃者が同意を迂回して直接供給元に侵入できる場合、悪意ある活動の被害者になるためにユーザーが何かをする必要はない。
1社のOEMから100万台超の脆弱な端末
Googleは、日本の警察庁、Lumen、HUMAN Security、Plume、Synthient、TrendAIとともに、10月下旬にこの活動の停止に貢献した。
Googleの調査結果によると、ボットネットはAndroid端末のファームウェアに埋め込まれた、x.cpeとして知られるバックドアに依存していた。この悪意あるコンポーネントにより、運営者は侵害した端末を、住宅用プロキシサービス、広告詐欺、マルウェア配布などに利用できた。
メーカーはその後、マルウェアの拡散、広告詐欺、住宅用プロキシサービスに利用する犯罪パートナーにアクセスを販売した。十数種類を超えるマルウェアファミリーが、このバックドアを通じて拡散したとみられている。
この活動により、GoogleのAndroid端末認証プロセスの弱点も明らかになった。Videostrongはセキュリティチェック中に悪意あるバックドアスクリプトを隠し、ファームウェアレベルに埋め込んでいたため、端末の初回再起動後およびその後の再起動時に有効化できる状態になっていた。
Googleはその後、メーカーおよび子会社との関係を打ち切り、法的措置によってボットネットとそのマルウェアをホスティングしていたサーバーを停止させた。この停止措置により、関連するマルウェア基盤に紐づく、少なくともさらに1000万台の侵害端末についても、犯罪者が利用できなくなると見込まれている。
サイバーセキュリティの推奨策では不十分な場合
端末が所有者の手元に届く前に侵害が発生している場合、従来のサイバーセキュリティ対策ではほとんど保護できない可能性がある。XCPEのケースでは、消費者がAndroid TVボックスを最新の状態に保ち、その他のセキュリティのベストプラクティスに従っていても、端末のファームウェアにバックドアが組み込まれている可能性がある。
ユーザーがアンインストールできる通常の悪意あるアプリケーションとは異なり、ファームウェアレベルのマルウェアは高いシステム権限で実行され、複数回削除を試みても残存する可能性がある。
そのため、製造段階で仕込まれた侵害に対して、消費者が取れる対策は限られる。感染を除去するには、メーカーが提供するクリーンで信頼できるファームウェアが必要になる可能性があるが、それが利用できるとは限らない。しかし今回のように、メーカー自身がマルウェアを送り込んだとされる場合、そのようなクリーンなインストールを入手できる見込みはどれほどあるのだろうか。
Googleがボットネットの制御基盤を停止させたことで、影響を受けた端末が既知の悪意あるサーバーと通信するのを防げる可能性はある。しかし、すでに販売された端末からバックドアが必ずしも除去されるわけではない。この違いは重要だ。侵害されたファームウェアは、元の活動が停止した後もセキュリティリスクとして残る可能性があるからだ。
消費者や企業にとって、この事件は難しい疑問を突きつけている。端末を侵害するソフトウェアがすでに製品の一部になっている場合、ユーザーはハードウェアをどのように安全にできるのだろうか。
企業と個人が注意すべき理由
XCPEの事件は、ネット接続されたハードウェアを購入する際、価格や仕様の比較だけでは不十分な理由を示している。消費者は、検証可能なセキュリティ実績、定期的なファームウェア更新、明確なサポート方針を持つメーカーを優先すべきだ。
Android TVボックスの所有者は、自分の端末モデルが影響を受けたものとして特定されていないか確認すべきだ。ユーザーは、特定の供給元のすべての端末が侵害されていると決めつけるのではなく、メーカーが提供する情報や信頼できるセキュリティ勧告を確認する必要がある。
企業にとって、このような事件は、攻撃者にとって非常に価値の高い対象になり得ることから、より重大な意味を持つ。したがって企業は、会議室用テレビやその他の用途の製品を購入する際、より厳格な精査を行わなければならない。
問題はテレビボックスにとどまらない。ルーター、防犯カメラ、スマート家電などのネット接続製品も、メーカーが侵害されたソフトウェアを出荷したり、端末の保守を怠ったりすれば、リスクをもたらす可能性がある。
この事件の本質は、サプライチェーンのセキュリティと信頼の問題にある。消費者は安全なハードウェアを提供するメーカーを信頼しているが、供給元自体が侵害の発生源である場合、その信頼が弱点になり得る。
XCPEの活動は、サプライチェーンのセキュリティが、ユーザーによる端末の設定方法だけに左右されるものではないことを示している。製造中に悪意あるソフトウェアが仕込まれれば、セキュリティを意識している消費者や企業でさえ、それを検知または除去する手段が限られる可能性がある。
その他のセキュリティ関連ニュースとして、 eSecurityPlanetのワイヤレスネットワークセキュリティガイドでは、WPA3暗号化、定期的なファームウェア更新、ネットワークのセグメンテーションによって、家庭や企業のWi-Fiネットワークを不正アクセス、マルウェア、その他のサイバー脅威から保護する方法を解説している。