これまでに格安ストリーミングボックスを疑いの目で見たことがある人なら誰でも驚かないだろうが、GoogleはAndroid製造パートナーの一つが130万台のデバイスに秘密裏にバックドアを組み込み、ボットネット化していたことを認めた。同社は現在、バックドアを解体し、中国深圳のVideostrong Technology Co.との関係を「断ち切った」と述べている。同社は認定Androidデバイスの製造・販売、およびそれら向けソフトウェアの供給を禁止された。

感染したデバイスは、所有者の知らないうちに「悪意のある活動」に利用され、広告詐欺、データ窃取、不正なネットワークトラフィックのルーティングなどが行われていた。Googleは「バックドアとボットネットは金銭的利益のために意図的に開発、展開、運用された」と主張している。驚きだ、本当に。声明で同社は、Videostrongが犯罪提携者にアクセスを販売し、それらの提携者のマルウェアモジュールを感染デバイスに読み込むことでバックドアを収益化したと説明した。これらの二次モジュールは広告詐欺を実行し、感染デバイスを無断でレジデンシャルプロキシネットワークに登録し、XCPEに侵害されたデバイスに追加のマルウェアを読み込んだ。

Googleはまた、これらの提携モジュールを運用するコマンド・アンド・コントロール（C2）ドメインを妨害する措置も取った。提携者はそれぞれXCPE以外にも多様な配布チャネルを持っているため、Googleは彼らのC2ドメインをテイクダウンすることで、少なくとも1000万台の追加の侵害デバイスへのアクセスを遮断できると評価している。つまり、救いはある：あと1000万台だけがこの楽しみに参加していたのだ。

影響を受けたのは一つのデバイスモデルだけではなかった。マルウェアは「長年にわたり多くの異なるデバイスモデルやブランドに直接組み込まれていた」ことが判明した。ほとんどはAndroid TVセットトップボックスだったが、ボットネットは他の「AndroidベースのIoTデバイス、例えば遠隔医療デバイス、カラオケマシン、デジタルサイネージデバイス」にも感染させていた。なぜなら、「信頼できる医療機器」に広告詐欺の味付けほどふさわしいものはないからだ。

Googleによると、Videostrongはユーザーが初めてハードウェアを起動した後にマルウェアをデバイスに読み込むために「難読化技術」を使用した。同社はまた、この事件を受けてデバイスメーカーの審査プロセスを変更したと述べている。おそらく、ウインクを減らし、実際のチェックを増やしたのだろう。