你家便宜电视盒子一直在出卖客厅——谷歌刚捣毁了一个 130 万台设备的僵尸网络

English version

以下数字来自谷歌威胁情报团队 2026 年 11 月 2 日的公告及合作伙伴报道。对 Videostrong 的归因是谷歌“高度信心”的评估，不是法院认定。

谷歌宣布了什么

上周，谷歌与行业伙伴捣毁了 XCPE（也写作 x.cpe）——一个藏在安卓电视机顶盒固件里的后门，它让超过 130 万台设备加入了一个僵尸网络。谷歌威胁情报团队表示，“高度确信”该后门是由深圳安卓制造商 Videostrong Technology Co. 出于牟利目的故意开发、部署和运营的；Videostrong 以自有品牌和代工方式生产了许多受影响的盒子。

按谷歌的描述，这个生意模式本身就是“访问权”。Videostrong 把访问权卖给犯罪团伙（affiliates），由他们在受感染设备上加载自己的恶意模块：广告欺诈、悄悄把设备拉进住宅代理网络——让别人的网络流量经由机主家里的宽带流出——以及加载更多恶意软件。谷歌还对十几个团伙恶意软件家族的指挥域名采取了法律行动，并表示仅这一步就应切断对至少另外 1000 万台受感染设备的访问——那些设备是团伙通过其他渠道感染的。

参与行动的伙伴包括 Lumen、HUMAN Security、Plume、Synthient 和 TrendAI，以及日本国家警察厅。追踪代理网络的 Synthient 公布过一份 182 个设备型号的名单，重点是它关联到 Videostrong 的 MECOOL 品牌盒子。

它怎么工作，又为什么能活下来

XCPE 不是用户装上去的应用。它以系统应用的身份跑在固件里，拥有系统级权限，从应用目录删除后还能自我恢复——2026 年 8 月之后的变种还会利用提权漏洞和 root ADB 访问，把自己写进系统分区。它通过 HTTP 做初始配置，通过持续的 MQTT 连接接收指令，包括静默安装应用、执行 shell 命令、截屏和网络侦察。受感染的还不只是电视盒子：谷歌还观察到远程医疗设备、卡拉 OK 机和数字标牌跑着同一个后门。

最让人不舒服的细节，是它怎么通过了谷歌自己的关卡。谷歌要求设备制造商通过兼容性和安全性测试，才能获得安卓认证设备资格。谷歌表示，Videostrong 利用了测试中的一个缺口隐藏代码，并在设备首次启动后才加载恶意代码。而截至 11 月 2 日，Videostrong 自己的网站上仍在售自称“Google Certified Android TV Box”和“Google Certified Android TV Stick”的产品。谷歌现已禁止 Videostrong——及其未来任何子公司或关联公司——制造或销售认证安卓设备，或向认证厂商供应软件，并与该公司断绝关系，同时表示已改进固件审查流程。

这个认证缺口才是真正的丑闻，也正是 XCPE 区别于前任的地方。谷歌 2025 年 7 月起诉 BadBox 2.0 僵尸网络时，涉及的 1000 多万台设备都是未认证的——买家在某种意义上是主动放弃了谷歌的保护。而 XCPE 的盒子是认证过的。本应代表“已检查”的徽章，没有拦住一段专门设计成“检查完再加载”的代码。

这次行动没有解决的部分

仔细读公告，界限是明确的：谷歌捣毁的是域名和服务器。它没有——远程也无法——从盒子里清除后门。用 The Hacker News 的话说，“后门仍在盒子里，机主自己无法清除”。恢复出厂设置也未必能清除写进受保护分区的固件级代码，而一家刚被谷歌封禁的制造商也不会再来发补丁。

于是机主只剩下一个不体面的选择：淘汰盒子，或者继续用一台固件里躺着休眠后门的设备——它的指挥服务器今天已死，但代码还在。对一台 30–50 美元的流媒体盒子来说，理性的答案通常是淘汰——而这也正是这场攻击的经济学得以成立的原因：盒子之所以便宜，是因为有别人在替它付钱：先是制造商，出卖你客厅的访问权；然后是团伙，变现你的网络连接。

判断

XCPE 是对两种偷懒叙事的有益纠正。它不是用户点了钓鱼链接的故事——没人点过任何东西，后门是随盒子出厂的。它也不是灰色市场未认证硬件的故事——认证体系本身被钻了空子。实用的教训很窄、也很可操作：把来历不明的超便宜安卓电视盒子当作不可信的网络设备，而不是电视机。如果非要留一个，就把它放在访客网络里；如果你家里有相关年份的 Videostrong 或 MECOOL 盒子，诚实的建议是换掉它，而不是重置它。僵尸网络死了，后门没有。

来源：谷歌威胁情报团队《Shutting the Door on the XCPE Botnet》，2026 年 11 月 2 日；The Hacker News《Google Disrupts 1.3 Million-Device Android Botnet》，2026 年 11 月 2 日；Help Net Security《Google disrupts XCPE botnet, bans the company behind it》，2026 年 11 月 2 日。