谷歌捣毁隐藏在安卓电视盒子中的大规模僵尸网络

谷歌与多家网络安全公司及日本执法部门联手，捣毁了一个名为X.CPE的全球僵尸网络，该网络隐藏在200多个国家的130多万台机顶盒中。

谷歌表示，已将该计划与中国公司Videostrong Technology联系起来，后者是一家安卓原始设备制造商，生产一系列屏幕、音箱和机器人产品。

谷歌称，X.CPE僵尸网络中绝大多数受感染设备是安卓电视盒子，并补充说他们还观察到一些其他受感染的安卓物联网设备，包括远程医疗设备、卡拉OK机和数字标牌设备。

在关于该计划的长篇报告中，谷歌和其他网络调查人员指责Videostrong通过“向犯罪关联方出售访问权限，并将这些关联方的恶意软件模块加载到受感染设备上”来将后门变现。

谷歌表示：“我们发现，这种恶意软件在多年间直接内置在许多不同设备型号和品牌中，并由专门的基础设施支持，且不断演变的配置以逃避检测并管理其关联方。”

“我们认为，这一活动并非孤立的流氓内部人员或开发疏忽。因此，谷歌已切断与Videostrong的关系，并禁止其生产预装谷歌应用的设备。”

Videostrong未回应置评请求。该公司称其作为原始设备制造商已有14年以上，销售各种AI支持的设备。

数百万家庭

谷歌称，Videostrong据称将受感染设备变成住宅代理网络，并将其他类型的恶意软件加载到受X.CPE入侵的设备上。

该僵尸网络通过转售带宽、数据外泄、分发视频内容、广告欺诈、加载额外后门以及付费安装应用等方式从设备中获利。该软件允许第三方流量通过个人互联网连接，使用其互联网地址和带宽。

X.CPE在设备到达用户家中之前就已嵌入其固件，并被设计为逃避安全检查。Videostrong据称继续更换使用的恶意软件，于2024年和2026年进行了更新。

谷歌与日本警方以及网络安全公司TrendAI、Human和Synthient合作，捣毁了支撑该僵尸网络的域名。

TrendAI网络犯罪研究总监罗伯特·麦卡德尔说：“我们的研究识别出超过130万台受该活动影响的设备。这意味着数百万家庭和企业完全不知道他们的设备被用作活跃犯罪的帮凶——无论是欺诈广告商，还是搭便车利用他们的连接通过住宅代理执行其他攻击——这通常包括冒充其所在地区人员的身份盗窃。”

据谷歌称，Videostrong使用“混淆技术”通过其安全测试并将恶意软件加载到设备上。谷歌承诺改变其审查流程，以阻止未来制造商开展类似活动。

谷歌表示，它已采取法律行动，关闭Videostrong用于控制僵尸网络和安装恶意软件的域名，同时起诉销毁加载到设备上的其他恶意软件家族使用的域名。

但据网络安全研究人员称，他们指出，即使用户试图卸载恶意软件，它也会自动重新安装。该后门能够静默下载其他文件到设备上，并在未经用户同意的情况下执行它们。

谷歌没有解释受感染设备的用户是否会收到通知，也没有说明是否有任何努力强制从受陷设备中移除恶意软件，就像美国执法机构在其他类似僵尸网络案件中所做的那样。

在回应有关移除恶意软件的问题时，谷歌威胁情报组 disruption 行动负责人查理·斯奈德告诉Recorded Future News，他们的行动切断了僵尸网络通信的域名，“有效地使恶意软件变得无害”。

谷歌声称，捣毁Videostrong犯罪关联方的命令与控制域名可能还切断了网络犯罪分子对另外1000万台受陷设备的访问——其中许多并非安卓设备。

谷歌表示，Videostrong及其未来任何子公司现在被禁止销售安卓设备或向认证供应商提供软件。

谷歌说：“x.cpe网络是为持续盈利而构建的。通过给予恶意软件关联方后门访问权限，运营者合谋在设备购买很久之后将其变现。至少自2024年底以来，Videostrong已将其预装恶意软件从简单的单阶段投放器演变为模块化的三阶段架构，旨在实现韧性和多租户变现。”

谷歌等科技公司越来越多地转向法院命令，以捣毁用于针对其客户的恶意工具或服务。微软今年多次使用法院命令摧毁钓鱼平台、恶意AI工具和网络犯罪即服务基础设施。