谷歌捣毁 130 万台设备规模的安卓僵尸网络：Videostrong 被取消认证
谷歌通过法律行动切断了 x.cpe 背后的命令与控制基础设施。这是一款预装在安卓固件中的后门，TrendAI 在 2026 年 6 月 3 日至 10 月 1 日期间于 1,472,554 台设备上统计到它。该数字覆盖 206 个机型，其中多数是安卓电视盒子，谷歌称这只是下限而非上限。谷歌在报告中表示，关停该僵尸网络的附属服务器还应切断至少 1000 万台其他受感染设备的访问，因为同一批犯罪团伙还通过其他渠道分发恶意软件。
后门能做什么
x.cpe 也被追踪为 com.oemservice，以系统应用身份运行，拥有 android.uid.system 权限。它被写入固件镜像而非事后安装，因此恢复出厂设置无法清除：设备重启时会从 /oem/ 分区恢复该软件包。据谷歌威胁情报团队称，该植入程序通过把 package_verifier_user_consent 设为 -1 来关闭 Play Protect 的应用校验，随后向运营者建立持久的 MQTT 通道。The Hacker News 概述的 TrendAI 分析描述了这种两阶段设计：一次 HTTP 引导请求把命令服务器地址下发给设备。- 静默安装和卸载应用
- 执行任意 shell 命令，包括反向 shell
- 截取屏幕并注入按键
- 收集账号信息、已安装应用列表和系统日志
- 对本地子网进行侦察
- 重启后从固件分区重新安装
真正的产品是住宅代理
多数变现模块把受感染硬件变成住宅代理出口节点，或出售闲置带宽。谷歌的报告点名了 Linkfog、Jaguar、AppSalt、BWM、GaGaNode、NetNut 和 Traffmonetizer 等代理 SDK，并指出单台设备最多可同时运行三个。另有 Spirit、Moyu、Bird、Fission 和 HiddenView 等模块用于制造虚假广告展示。 住宅代理网络的价值取决于出口 IP 的多样性和信誉，而家庭消费设备恰好提供了这一点：这些地址看起来像普通宽带用户，而不是数据中心网段。购买这类带宽的人用它转发抓取、撞库和欺诈流量，这些流量本来会被拦截。当出口节点是某人客厅里的电视盒子时，流量就被记到那个家庭的宽带上。设备厂商故意让用户感染恶意软件，是对信任不可接受的破坏，也给这些用户带来严重风险。——谷歌对把网络身份当作运营问题的人来说，教训是：一台被攻陷的家电可能在你不知情的情况下用你的线路发出流量。你用来到达 Tor 或管理敏感事务的硬件同理；通用清单见我们的Tor 之前的设备安全指南。
归因：一份签署文件和同一个 IP
谷歌表示高度确信总部位于深圳的 Videostrong Technology 故意开发、部署和运营了该后门，并向犯罪附属团伙出售访问权限。证据包括：在一台僵尸网络服务器上发现的、由 Videostrong 研发总监签署的文件；一个解析到与运营者控制面板相同 IP 的 Videostrong 域名；用于存放发布包的 GitHub 账号 yf-videostrong；以及 x.cpe 把命令服务器设置传给 YokaTV Player 等其他 Videostrong 应用。谷歌的 Charley Snyder 对 CyberScoop 表示，运营者不断更改配置，以规避发布前后的检测。 参与此次行动的合作伙伴 Synthient 独立得出了相同结论。该公司购买了一台零售版 MECOOL KM9PRO Max，发现后门已预装，随后公布了在行动中观察到的 182 个设备型号名称，并提醒仅凭型号名称不能证明某台设备已被感染。提供路由器和设备管理软件的 Plume 发现十多种设备类型在与该僵尸网络的控制服务器通信，多数为 MECOOL 品牌。行动本身，以及它没有解决的问题
此次行动与日本警察厅共同开展，并得到 Lumen、HUMAN Security、Plume、Synthient 和 TrendAI 支持，关停了 Videostrong 的控制域名和服务器，以及通过该后门加载的十多个恶意软件家族的指挥控制域名。谷歌还禁止 Videostrong 及其未来子公司生产或销售认证安卓设备，也禁止其向其他认证厂商提供软件。The Register 报道称谷歌已与该供应商断绝关系；Videostrong 未回应置评请求。 谷歌称已加强对认证安卓电视设备的固件完整性校验，并调整了审核流程，但结构性问题依然存在。认证在设备出货前进行测试，而恶意代码是在首次开机后才加载的，这恰好是这些测试覆盖不到的窗口。已在现场的设备会一直保留植入程序，直到固件被替换；TrendAI 认为，修复需要厂商行动、平台防护或更换设备。用户和采购方的实际步骤
- 把 Synthient 公布清单上的任何型号视为高风险；将其与可信网络隔离或直接更换。
- 在路由器或 DNS 解析器上封堵已公布的引导域名和 MQTT 域名。
- 把智能电视、盒子和家电放到独立的 VLAN 或访客网络，且不设通往管理界面的路由。
- 对以“闲置带宽”或“共享网络”付费的应用保持怀疑；谷歌指出，静默、未经同意的注册是进入代理网络最常见的途径。
- 保持 Play Protect 开启，并优先选择安卓电视认证合作伙伴名单上的厂商设备。