- Google及合作夥伴瓦解XCPE；該網絡曾將逾130萬部機頂盒納入殭屍網絡。
- Google觀察到Videostrong營運者在裝置上擷取螢幕畫面、注入鍵盤輸入、竊取敏感資料並執行Shell指令。
- Google禁止Videostrong及其未來的附屬公司和關聯公司製造或銷售經認證Android裝置，或向經認證供應商提供軟件。
Google表示，該公司與業界夥伴瓦解XCPE後門；該後門曾將逾130萬部機頂盒納入殭屍網絡。行動亦促使Google禁止Videostrong及其未來的附屬公司和關聯公司製造或銷售經認證Android裝置，或向經認證供應商提供軟件。
Google觀察到營運者擷取直播截圖、注入鍵盤輸入、竊取帳戶及裝置資料，以及執行Shell指令，包括用於建立反向Shell的指令。
TrendAI統計6月3日至10月1日期間，206個型號共有1,472,554部裝置受感染。
XCPE預載於韌體並使用HTTP及MQTT控制
Google表示，Videostrong利用混淆技術，鑽測試漏洞，在裝置完成首次啟動後載入惡意程式碼。該公司表示，相關軟件多年來直接內置於多個裝置型號及品牌。
次級模組進行廣告欺詐，暗中將裝置納入住宅代理網絡，並載入額外惡意軟件。TrendAI表示，營運者向約133萬部裝置安排代理及廣告欺詐模組。
TrendAI發現代理銷售、暗中安裝及Play Protect變更
TrendAI報告，四個月內錄得逾380萬個不同的住宅及流動IP地址。該公司表示，受感染電視機頂盒的存取權以住宅代理及人工智能閘道服務形式出售。
TrendAI觀察到暗中安裝指令抵達逾187,000部裝置，並發現一個在大量裝置上關閉Google Play Protect的指令碼。該公司表示，機主無法自行移除植入物，因為它以製造商密鑰簽署的系統應用程式運行。
Google表示，高度確信Videostrong為牟取經濟利益，蓄意開發、部署及運作後門和殭屍網絡。該公司表示，Videostrong向犯罪附屬團體出售存取權，並將對方的惡意軟件模組載入受感染裝置，以圖從行動中牟利。
Google聯同六個夥伴瓦解行動
Google表示，該公司與日本警察廳、Lumen、HUMAN Security、Plume、Synthient及TrendAI合作，分析惡意軟件生態並瓦解其運作。
TrendAI表示，殭屍網絡遍及逾170個國家。該公司表示，美國、德國、英國、澳洲及加拿大各有約26,000至42,000部受感染裝置。
Plume表示，殭屍網絡包括Google認證裝置，以及運行Android開源項目版本的裝置。《The Hacker News》表示，Google報告未有說明有多少部認證裝置受影響。
Google表示，已採取法律行動，取締Videostrong用於控制殭屍網絡及安裝惡意軟件模組的網域及伺服器。該公司亦表示，行動嚴重影響逾十名惡意行動者。
Google更改審查流程，並正改善認證Android TV裝置的韌體檢查。TrendAI表示，機主無法自行移除植入物，因為它以製造商密鑰簽署的系統應用程式運行，因此所列清理選項包括供應商採取行動、平台保護或更換裝置。
防守方現在要做甚麼
- 避免使用沒有品牌或未獲認證的Android TV機頂盒，以及為共享頻寬而獲報酬的應用程式。
- 將家居網絡上的非受管理消費裝置視為部分暴露範圍，並讓企業存取權置於受管理端點之後。
- 使用已公布的指標，在網絡上找出MECOOL或類似裝置；斷開並棄置任何出現的裝置，封鎖所列控制網域及IP地址，並將其他智能裝置置於獨立網絡分段，遠離敏感系統。
常見問題
XCPE Android殭屍網絡發生了甚麼事？
Google及業界夥伴瓦解XCPE後門；該後門曾將逾130萬部機頂盒納入殭屍網絡。Google亦就用於控制殭屍網絡的網域及伺服器採取法律行動。
哪些裝置受XCPE影響？
TrendAI統計6月3日至10月1日期間，206個型號共有1,472,554部裝置受感染。
XCPE後門可以做甚麼？
Google觀察到營運者擷取螢幕畫面、注入鍵盤輸入、竊取敏感資料及執行Shell指令。
誰是XCPE殭屍網絡幕後黑手？
Google高度確信，Videostrong為牟取經濟利益，蓄意開發、部署及運作後門和殭屍網絡。Google表示，Videostrong向犯罪附屬團體出售存取權，並將其模組載入受感染裝置。
機主可以自行移除XCPE後門嗎？
TrendAI表示，機主無法自行移除植入物，因為它以製造商密鑰簽署的系統應用程式運行。該公司表示，清理需要供應商採取行動、平台保護或更換裝置。
Google發現XCPE後採取了甚麼行動？
Google禁止Videostrong及其未來的附屬公司和關聯公司製造或銷售經認證Android裝置，或向經認證供應商提供軟件。Google亦實施改善措施，以保障認證Android TV韌體完整性。
來源
- Shutting the Door on the XCPE Botnet | Google Cloud Blog, Google Cloud原始文件
- public-research/2026/11/Videostrong/README.md at main · synthient/public-research, GitHub原始文件
- TrendAI™ Research Helps Disrupt Botnet of More Than 1.3 Million Pre-Infected Set-Top Boxes, TrendAI原始文件
- Google Disrupts 1.3 Million-Device Android Botnet, Says TV Box Maker Sold Criminal Access, The Hacker News
- Google shuts down global botnet running on certified Android devices, CyberScoop
- One of Google’s Android partners turned 1.3 million set-top boxes into a botnet, The Verge
- Google disrupts XCPE botnet, bans the company behind it, Help Net Security
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| Google及業界夥伴瓦解XCPE後門；該後門曾將逾130萬部機頂盒納入殭屍網絡。 | Google, via Google Cloud | 引述 |
| Google高度確信，Videostrong為牟取經濟利益，蓄意開發、部署及運作後門和殭屍網絡。 | Google, via Google Cloud | 引述 |
| Google表示，Videostrong向犯罪附屬團體出售存取權，並將對方的惡意軟件模組載入受感染裝置，以圖從後門牟利。 | Google, via Google Cloud | 引述 |
| Google表示，惡意軟件多年來內置於多個裝置型號及品牌，並使用為避過偵測而設計的基礎設施。 | Google, via Google Cloud | 引述 |
| Google表示，Videostrong利用混淆技術鑽測試漏洞，在裝置首次啟動後載入惡意程式碼。 | Google, via Google Cloud | 引述 |
| Google禁止Videostrong及其未來的附屬公司和關聯公司製造或銷售經認證Android裝置，或向經認證供應商提供軟件。 | Google, via Google Cloud | 已證實 |
| Google實施改善措施，以保障認證Android TV裝置的韌體完整性。 | Google, via Google Cloud | 已證實 |
| 殭屍網絡使用HTTP及MQTT通訊，以接收配置、指令及模組下載指示。 | Google, via Google Cloud | 已證實 |
| Google觀察到Videostrong營運者擷取截圖、注入鍵盤輸入、竊取敏感資料及執行Shell指令。 | Google, via Google Cloud | 已證實 |
| TrendAI表示，營運者向約133萬部裝置安排代理及廣告欺詐模組。 | TrendAI | 已證實 |
| TrendAI報告，四個月內錄得逾380萬個不同的住宅及流動IP地址。 | TrendAI | 已證實 |
| TrendAI觀察到暗中安裝指令抵達逾187,000部裝置，以及一個在大量裝置上停用Google Play Protect的指令碼。 | TrendAI | 已證實 |
| TrendAI表示，機主無法自行移除植入物，並建議供應商採取行動、提供平台保護或更換裝置。 | TrendAI | 已證實 |
| TrendAI表示，受感染裝置的存取權以住宅代理及人工智能閘道服務形式出售。 | TrendAI | 已證實 |
| 據該公司表示，Google的行動嚴重打擊逾十名惡意行動者。 | Google, via CyberScoop | 引述 |
| Help Net Security報道，後門在重新啟動後從受保護分區重新安裝，並透過改寫驗證設定停用Google Play Protect。 | Help Net Security | 引述 |
| Help Net Security表示，自2026年8月起，營運者安裝偽裝成系統套件的下載器，利用權限提升漏洞寫入系統分區。 | Help Net Security | 引述 |
| Google的行動涉及日本警察廳、Lumen、HUMAN Security、Plume、Synthient及TrendAI。 | Google, via Google Cloud | 已證實 |
| Synthient研究使用的裝置是MECOOL裝置，但單憑型號名稱不能確認受到入侵。 | Synthient, via GitHub | 已證實 |
| 《The Hacker News》表示，殭屍網絡伺服器於10月下旬在Google主導的瓦解行動中失去控制。 | The Hacker News | 引述 |
| Google表示，高度確信Videostrong蓄意在機頂盒植入後門，並向犯罪分子出售存取權。 | Google, via The Hacker News | 引述 |
| 《The Hacker News》表示，後門仍留在機頂盒內，機主無法自行移除。 | The Hacker News | 引述 |
| 《The Hacker News》表示，Videostrong位於深圳，以自身名稱及其他品牌製造Android TV機頂盒及其他裝置。 | The Hacker News | 引述 |
| 後門多年來內置於多個裝置型號及品牌，Google不相信事件由流氓內部人員或錯誤造成。 | Google, via The Hacker News | 引述 |
| 《The Hacker News》表示，後門讓營運者可在機主不知情下暗中安裝應用程式、執行指令、擷取螢幕畫面及繪製網絡圖。 | The Hacker News | 引述 |
| Google表示，Videostrong營運者擷取截圖、傳送鍵盤輸入、複製帳戶資料及開啟反向Shell。 | Google, via The Hacker News | 引述 |
| TrendAI統計6月3日至10月1日期間，206個型號共有1,472,554部裝置受感染。 | TrendAI, via The Hacker News | 引述 |
| TrendAI表示，美國、德國、英國、澳洲及加拿大各有約26,000至42,000部受感染裝置。 | TrendAI, via The Hacker News | 引述 |
| Synthient公布一份在行動中觀察到的182個裝置型號名稱清單。 | Synthient, via The Hacker News | 引述 |
| Synthient購入MECOOL KM9PRO Max，發現預先安裝後門。 | Synthient, via The Hacker News | 引述 |
| 《The Hacker News》表示，後門屬於韌體一部分，因此機頂盒重新啟動時會自行重新安裝。 | The Hacker News | 引述 |
| TrendAI表示，清理需要供應商採取行動、平台保護或更換裝置。 | TrendAI, via The Hacker News | 引述 |
| Synthient建議消費者永久棄置受影響機頂盒，因為它們構成高風險惡意軟件威脅。 | Synthient, via The Hacker News | 引述 |
| Google更改審查流程，並正改善認證Android TV裝置的韌體檢查。 | Google, via The Hacker News | 引述 |
| Google表示，Videostrong隱藏程式碼，以繞過認證測試，並在首次啟動後載入惡意程式碼。 | Google, via The Hacker News | 引述 |
| 《The Hacker News》表示，截至11月2日，Videostrong網站列出名為Google Certified Android TV Box及Google Certified Android TV Stick的產品。 | The Hacker News | 引述 |
| Plume發現，殭屍網絡包括Google認證裝置，以及運行Android開源項目的裝置。 | Plume, via The Hacker News | 引述 |
| 《The Hacker News》表示，Google報告未有說明有多少部認證裝置受影響。 | The Hacker News | 引述 |
| 《The Hacker News》表示，Google於2025年7月就BadBox 2.0提出訴訟時，逾1,000萬部涉事裝置未獲認證。 | The Hacker News | 引述 |
| Google表示，Videostrong向犯罪附屬團體出售存取權，並載入對方的惡意軟件模組，以圖從後門牟利。 | Google, via The Verge | 引述 |
| Google表示，受感染裝置進行廣告欺詐、加入住宅代理網絡，並載入額外惡意軟件。 | Google, via The Verge | 引述 |
| Google表示，惡意軟件多年來直接內置於多個裝置型號及品牌。 | Google, via The Verge | 引述 |
| Google表示，Videostrong利用混淆技術，在用戶首次啟動裝置後載入惡意軟件。 | Google, via The Verge | 引述 |
| Google Cloud於2026年11月2日發表報告。 | Google Cloud | 已證實 |
未能核實
- 殭屍網絡是否被特定犯罪買家利用，尚未確立。
- 有多少部經認證Android裝置受感染，尚未確立。
- 恢復出廠設定是否會移除x.cpe後門，尚未確立。
- 是否有任何民族國家行動者使用該裝置群，尚未確立。
