- Google及合作伙伴瓦解了XCPE，此前该僵尸网络已将超过130万台机顶盒纳入其中。
- Google观察到Videostrong运营者在设备上捕获屏幕、注入按键、窃取敏感数据并执行Shell命令。
- Google禁止Videostrong及其未来的子公司和关联公司制造或销售认证Android设备，或向认证供应商提供软件。
Google与行业合作伙伴瓦解了XCPE后门。Google表示，该后门此前已将超过130万台机顶盒纳入僵尸网络。此次行动还促使Google禁止Videostrong及其未来的子公司和关联公司制造或销售认证Android设备，或向认证供应商提供软件。
Google观察到，运营者会捕获实时屏幕截图、注入按键、窃取账户和设备信息，并执行Shell命令，包括用于建立反向Shell的命令。
TrendAI统计显示，6月3日至10月1日期间，206种型号共有1,472,554台设备感染。
XCPE预载于固件并使用HTTP和MQTT控制
Google表示，Videostrong利用混淆技术来利用测试漏洞，在设备完成首次启动后加载恶意代码。该公司称，这些软件多年来被直接构建进许多设备型号和品牌。
次级模块实施广告欺诈，秘密将设备纳入住宅代理网络，并加载其他恶意软件。TrendAI表示，运营者已将代理和广告欺诈模块安排到约133万台设备上。
TrendAI发现代理销售、静默安装和Play Protect变更
TrendAI报告称，4个月内出现超过380万个不同的家庭和移动IP地址。该公司表示，通过受感染电视机顶盒提供的访问权限被作为住宅代理和AI网关服务出售。
TrendAI观察到，静默安装命令触达超过18.7万台设备，并发现一个在大量设备上关闭Google Play Protect的脚本。该公司表示，所有者无法自行移除植入物，因为它作为使用制造商密钥签名的系统应用运行。
Google表示，有高度信心评估认为，Videostrong出于经济利益故意开发、部署并运营该后门和僵尸网络。Google称，Videostrong通过向犯罪关联方出售访问权限，并将其恶意软件模块加载到受感染设备上，从该行动中获利。
Google与6家合作伙伴合作瓦解行动
Google表示，它与日本警察厅、Lumen、HUMAN Security、Plume、Synthient和TrendAI合作，分析恶意软件生态并瓦解其行动。
TrendAI表示，该僵尸网络覆盖170多个国家。该公司表示，美国、德国、英国、澳大利亚和加拿大各有约26,000至42,000台受感染设备。
Plume表示，该僵尸网络既包括Google认证设备，也包括运行Android开源项目版本的设备。The Hacker News表示，Google的报告没有说明有多少认证设备受到影响。
Google表示，已采取法律行动，取缔Videostrong用于控制僵尸网络并安装恶意软件模块的域名和服务器。该公司还表示，此次行动严重影响了十多个恶意行为者。
Google更改了审核流程，并正在改进认证Android TV设备的固件检查。TrendAI表示，所有者无法自行移除植入物，因为它作为使用制造商密钥签名的系统应用运行，因此清理选项是供应商采取行动、平台保护或更换设备。
防守方现在要做什么
- 避免使用无品牌或未经认证的Android TV盒子，以及为共享带宽付费的应用。
- 将家庭网络中未受管理的消费级设备视为暴露面的一部分，并将企业访问置于受管理终端之后。
- 使用已发布的指标在网络中查找MECOOL或类似设备，断开并丢弃任何出现的设备，阻止所列控制域名和IP地址，并将其他智能设备置于独立网络分段中，与敏感系统隔离。
常见问题
XCPE Android僵尸网络发生了什么？
Google及行业合作伙伴瓦解了XCPE后门，此前该后门已将超过130万台机顶盒纳入僵尸网络。Google还对用于控制该网络的域名和服务器采取了法律行动。
哪些设备受到XCPE影响？
TrendAI统计显示，6月3日至10月1日期间，206种型号共有1,472,554台设备感染。
XCPE后门能做什么？
Google观察到运营者捕获屏幕、注入按键、窃取敏感数据和执行Shell命令。
谁在幕后操纵XCPE僵尸网络？
Google高度确信Videostrong出于经济利益故意开发、部署并运营该后门和僵尸网络。Google表示，Videostrong向犯罪关联方出售访问权限，并将其模块加载到受感染设备上。
所有者能自行移除XCPE后门吗？
TrendAI表示，所有者无法自行移除植入物，因为它作为使用制造商密钥签名的系统应用运行。该公司表示，清理需要供应商采取行动、平台保护或更换设备。
Google发现XCPE后采取了什么措施？
Google禁止Videostrong及其未来的子公司和关联公司制造或销售认证Android设备，或向认证供应商提供软件。Google还实施了改进措施，以保护认证Android TV的固件完整性。
来源
- Shutting the Door on the XCPE Botnet | Google Cloud Blog, Google Cloud原始文件
- public-research/2026/11/Videostrong/README.md at main · synthient/public-research, GitHub原始文件
- TrendAI™ Research Helps Disrupt Botnet of More Than 1.3 Million Pre-Infected Set-Top Boxes, TrendAI原始文件
- Google Disrupts 1.3 Million-Device Android Botnet, Says TV Box Maker Sold Criminal Access, The Hacker News
- Google shuts down global botnet running on certified Android devices, CyberScoop
- One of Google’s Android partners turned 1.3 million set-top boxes into a botnet, The Verge
- Google disrupts XCPE botnet, bans the company behind it, Help Net Security
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| Google及行业合作伙伴瓦解了XCPE后门，此前该后门已将超过130万台机顶盒纳入其中。 | Google, via Google Cloud | 引述 |
| Google高度确信Videostrong出于经济利益故意开发、部署并运营该后门和僵尸网络。 | Google, via Google Cloud | 引述 |
| Google表示，Videostrong通过向犯罪关联方出售访问权限，并将其恶意软件模块加载到受感染设备上，使后门获利。 | Google, via Google Cloud | 引述 |
| Google表示，该恶意软件多年来被构建进许多设备型号和品牌，并使用了旨在规避检测的基础设施。 | Google, via Google Cloud | 引述 |
| Google表示，Videostrong利用混淆技术来利用测试漏洞，在设备首次启动后加载恶意代码。 | Google, via Google Cloud | 引述 |
| Google禁止Videostrong及其未来的子公司和关联公司制造或销售认证Android设备，或向认证供应商提供软件。 | Google, via Google Cloud | 已证实 |
| Google实施了改进措施，以保护认证Android TV设备的固件完整性。 | Google, via Google Cloud | 已证实 |
| 该僵尸网络使用HTTP和MQTT通信来接收配置、命令和模块下载指令。 | Google, via Google Cloud | 已证实 |
| Google观察到Videostrong运营者捕获屏幕、注入按键、窃取敏感数据并执行Shell命令。 | Google, via Google Cloud | 已证实 |
| TrendAI表示，运营者已将代理和广告欺诈模块安排到约133万台设备上。 | TrendAI | 已证实 |
| TrendAI报告称，4个月内出现超过380万个不同的家庭和移动IP地址。 | TrendAI | 已证实 |
| TrendAI观察到静默安装命令触达超过18.7万台设备，并发现一个在许多设备上禁用Google Play Protect的脚本。 | TrendAI | 已证实 |
| TrendAI表示，所有者无法自行移除植入物，并建议由供应商采取行动、使用平台保护或更换设备。 | TrendAI | 已证实 |
| TrendAI表示，通过受感染设备提供的访问权限被作为住宅代理和AI网关服务出售。 | TrendAI | 已证实 |
| 据该公司称，Google的瓦解行动严重影响了十多个恶意行为者。 | Google, via CyberScoop | 引述 |
| Help Net Security报道称，该后门会在重启后从受保护分区重新安装，并通过重写验证设置禁用Google Play Protect。 | Help Net Security | 引述 |
| Help Net Security表示，自2026年8月以来，运营者安装了伪装成系统软件包的投放器，这些投放器利用提权漏洞写入系统分区。 | Help Net Security | 引述 |
| Google的行动涉及日本警察厅、Lumen、HUMAN Security、Plume、Synthient和TrendAI。 | Google, via Google Cloud | 已证实 |
| Synthient研究使用的设备是MECOOL设备，但仅凭型号名称无法确认已遭入侵。 | Synthient, via GitHub | 已证实 |
| The Hacker News表示，该僵尸网络的服务器在10月下旬一次由Google主导的行动中失去控制。 | The Hacker News | 引述 |
| Google表示，它高度确信Videostrong故意在这些盒子中植入后门，并向犯罪分子出售访问权限。 | Google, via The Hacker News | 引述 |
| The Hacker News表示，该后门仍存在于这些盒子中，所有者无法自行移除。 | The Hacker News | 引述 |
| The Hacker News表示，Videostrong总部位于深圳，以自有名称及其他品牌生产Android TV盒子和其他设备。 | The Hacker News | 引述 |
| 该后门多年来被构建进许多设备型号和品牌，Google不认为这是流氓内部人员或错误造成的。 | Google, via The Hacker News | 引述 |
| The Hacker News表示，该后门使运营者能够在所有者不知情的情况下静默安装应用、运行命令、捕获屏幕并绘制网络拓扑。 | The Hacker News | 引述 |
| Google表示，Videostrong运营者截取屏幕截图、发送按键、复制账户详细信息并打开反向Shell。 | Google, via The Hacker News | 引述 |
| TrendAI统计显示，6月3日至10月1日期间，206种型号共有1,472,554台设备感染。 | TrendAI, via The Hacker News | 引述 |
| TrendAI表示，美国、德国、英国、澳大利亚和加拿大各有约26,000至42,000台受感染设备。 | TrendAI, via The Hacker News | 引述 |
| Synthient发布了活动中观察到的182个设备型号名称列表。 | Synthient, via The Hacker News | 引述 |
| Synthient购买了一台MECOOL KM9PRO Max，并发现其预装了该后门。 | Synthient, via The Hacker News | 引述 |
| The Hacker News表示，该后门属于固件的一部分，因此盒子重启时会自行重新安装。 | The Hacker News | 引述 |
| TrendAI表示，清理需要供应商采取行动、平台保护或更换设备。 | TrendAI, via The Hacker News | 引述 |
| Synthient建议消费者永久丢弃受影响的盒子，因为它们带来较高的恶意软件风险。 | Synthient, via The Hacker News | 引述 |
| Google更改了审核流程，并正在改进认证Android TV设备的固件检查。 | Google, via The Hacker News | 引述 |
| Google表示，Videostrong隐藏了其代码以绕过认证测试，并在首次启动后加载恶意代码。 | Google, via The Hacker News | 引述 |
| The Hacker News表示，截至11月2日，Videostrong网站列出了名为Google Certified Android TV Box和Google Certified Android TV Stick的产品。 | The Hacker News | 引述 |
| Plume发现，该僵尸网络包括Google认证设备和运行Android开源项目的设备。 | Plume, via The Hacker News | 引述 |
| The Hacker News表示，Google的报告没有说明有多少认证设备受到影响。 | The Hacker News | 引述 |
| The Hacker News表示，Google于2025年7月就BadBox 2.0提起诉讼时，涉及的设备中有超过1,000万台未经认证。 | The Hacker News | 引述 |
| Google表示，Videostrong通过向犯罪关联方出售访问权限并加载其恶意软件模块，使后门获利。 | Google, via The Verge | 引述 |
| Google表示，受感染设备实施广告欺诈、加入住宅代理网络并加载其他恶意软件。 | Google, via The Verge | 引述 |
| Google表示，该恶意软件多年来被直接构建进许多设备型号和品牌。 | Google, via The Verge | 引述 |
| Google表示，Videostrong利用混淆技术，在用户首次启动设备后加载恶意软件。 | Google, via The Verge | 引述 |
| Google Cloud于2026年11月2日发布了报告。 | Google Cloud | 已证实 |
未能核实
- 该僵尸网络是否被特定犯罪买家利用，尚未确定。
- 有多少认证Android设备受到感染，尚未确定。
- 恢复出厂设置是否会移除x.cpe后门，尚未确定。
- 是否有任何民族国家行为者使用了该设备群，尚未确定。
