ARTICLE · 1321055
130万台安卓设备被预置后门:谷歌瓦解 XCPE 僵尸网络
客厅里那台几百块钱的电视盒子，可能正在替别人“赚钱”：它会被悄悄变成网络流量跳板，也可能在后台不断制造广告曝光和点击，骗取广告主费用。
2026年11月2日，谷歌威胁情报团队联合 Plume、TrendAI、Lumen、HUMAN Security、Synthient 以及日本警察厅，宣布瓦解代号为 XCPE 的全球僵尸网络。该网络隐藏在超过130万台安卓设备中，其中绝大多数是电视盒子和机顶盒，但也涉及远程医疗设备、卡拉OK点唱机和数字标牌等物联网设备。
谷歌以“高度确信”认定，总部位于深圳的厂商 Videostrong（视壮科技）为牟利开发、部署并运营该后门，并将受感染设备的访问权限出售给黑灰产团伙，用于住宅代理、流量转发、广告欺诈和分发更多恶意程序。
01 一次发生在“出厂前”的供应链投毒
XCPE 的特殊之处在于，恶意代码并非用户下载应用后被植入，而是在设备到达消费者手中前就被写入固件。它被设计为绕过发布前的安全检测，直到设备首次开机后才加载或激活恶意模块。
安全机构 TrendAI 统计显示，2026年6月3日至10月1日期间，共识别出约147万台受影响设备，覆盖206个设备型号，分布在200多个国家和地区。谷歌方面给出的估算则超过130万台。
02 一个拥有系统权限的“内鬼”
根据谷歌和安全机构分析，XCPE 的主要组件在部分设备中名为 x.cpe，部分版本也显示为 com.oemservice。它被预装在固件分区，以系统级权限运行，并可通过混淆技术规避认证检测。
设备首次开机后，该组件会检查相关文件、连接远程控制服务器，并按指令执行后续操作。谷歌观察到的行为包括：静默安装应用、执行命令、截取屏幕、收集设备信息、应用列表和系统日志，甚至开启反向 shell 获取远程命令行控制权，并探测用户所在家庭网络拓扑。
03 一条“卖后门”的变现链条
XCPE 并非单一后门，而是包含多层结构：主后门负责与运营方服务器通信，加载器负责下载和运行模块，第三方模块则承担实际变现任务。这些模块并非都由 Videostrong 编写，而是来自向运营方付费租用访问权限的第三方服务商。
主要变现方式包括：
住宅代理：把盒子变成代理节点，借用家庭宽带 IP 转发流量，使外部请求看起来来自普通家庭网络；
广告欺诈：伪造广告曝光、点击和浏览，骗取广告费用；
进一步分发恶意程序：在受感染设备上安装更多后门或恶意模块。
部分模块与此前被打击的 BadBox 僵尸网络生态存在关联。
04 处置行动切断了控制通道，但未清除设备固件
谷歌此次采取了多项处置措施：
通过法律手段接管用于控制僵尸网络和分发恶意模块的域名、服务器；
对通过该后门传播的多个恶意软件家族的控制域名发起打击； 终止与 Videostrong 的合作，禁止其及关联方生产或销售预装谷歌应用、通过谷歌认证的安卓设备，也禁止向其他认证厂商供应软件； 升级安卓电视认证设备的固件完整性审查流程。
需要强调的是，谷歌并未宣称已把所有受感染设备彻底“杀毒”。由于后门预装在固件分区，即便部分组件被卸载，设备重启后仍可能自动恢复。谷歌评估，此次行动预计会切断至少1000万台额外受感染设备的访问，因为这些恶意模块也通过 XCPE 以外的渠道分发。
05 用户如何判断和处理
对普通用户而言，最棘手的问题是：这类后门很难通过常规卸载彻底清除。
更稳妥的做法包括：
尽量从正规渠道购买具备官方认证的电视盒子，避免来路不明的低价白牌设备；
不要关闭 Play Protect，它是设备重要的基础防护； 谨慎授予第三方 VPN、代理类应用权限； 若怀疑设备受感染，可先断网，核对品牌和型号，联系销售方或品牌方确认是否有可信固件修复方案； 在可疑设备上登录过的账号，建议修改密码。
安全公司 Synthient 建议消费者永久丢弃涉事机顶盒；Plume 则建议执行完整恢复出厂设置，但并未明确说明恢复出厂能否彻底清除 x.cpe 本身。
06 企业也应把消费级智能设备纳入风险面
对企业来说，员工家中那些“不受管理的消费级智能设备”同样可能扩大攻击面。一旦这些设备被控，可能成为渗透企业内网的跳板。
建议企业：
将智能电视、电视盒子等消费级设备视为不可信设备，不允许其直连敏感系统； 使用公开威胁指标排查网络中是否存在相关型号设备，发现后立即断网处理； 在网关或防火墙层封堵报告中列出的控制域名和 IP； 将智能设备划入独立网段，与办公、财务等敏感区域隔离。
这起事件再次说明，物联网时代的安全风险正越来越多地前移到“出厂之前”。当恶意代码被写进固件，用户手中的常规防护手段很可能已经被架空。对消费者而言，选购智能硬件时多确认品牌来源和官方认证，可能是最划算的家庭网络安全投资。
主要信息来源
