【安全提醒】130万台安卓电视盒“出厂即带后门”：谷歌联手日本警方瓦解 XCPE 僵尸网络

谷歌威胁情报小组（GTIG）11 月 2 日披露：它与日本警察厅及五家安全公司合作，在 10 月下旬瓦解了名为 XCPE 的僵尸网络。这个网络控制着 200 多个国家和地区的 130 多万台安卓设备，绝大多数是安卓电视机顶盒。谷歌“高度确信”，后门是深圳厂商 Videostrong 在出厂固件里有意植入的，设备访问权被卖给了犯罪团伙。

控制服务器已经被拿下，但后门仍留在已售出的设备里。这起案件的线索来自日本：福冈县警在侦办网银非法转账案时，顺着非法访问的来源找到了这些设备。对在日本生活和经营的人来说，这不是远方的新闻。

事件经过

2025 年 9 月，福冈县警在侦办一起网银非法转账案时追查非法访问的来源，发现了被植入不正当应用的家用 IoT 设备。关东管区警察局网络特别搜查部随后分析这些应用，查清设备的制造和销售渠道，并把情报提供给谷歌。据报道，这类设备曾在日本国内外的电商平台和家电量贩店销售。

10 月下旬，谷歌通过在美国的法律行动，拿下了 Videostrong 用来控制僵尸网络、下发恶意模块的域名和服务器，同时下线了十余个关联恶意软件家族的指令服务器。参与分析和处置的还有 Lumen、HUMAN Security、Plume、Synthient 和 TrendAI。谷歌估计，这还切断了犯罪团伙对另外至少 1000 万台感染设备的访问；这些设备经其他渠道感染，不属于 XCPE 本身。

谷歌已终止与 Videostrong 的合作，吊销其预装谷歌应用和服务的 Android TV 设备授权，并禁止该公司及其未来的关联公司制造认证安卓设备、向认证厂商供应软件。TrendAI 在 2026 年 6 月 3 日至 10 月 1 日间观测到 1,472,554 台感染设备，涉及 206 个型号；感染最多的地区是马来西亚、巴西、伊拉克、墨西哥和台湾。

时间	事件
2026 年 11 月 4 日	日本警察厅、关东管区警察局、福冈县警发布消息
2026 年 11 月 2 日（美国时间）	谷歌公布行动并点名 Videostrong
2026 年 10 月下旬	谷歌与合作方拿下指令域名和服务器
2026 年 8 月起	运营方改用伪装成系统应用的新 dropper
2026 年 3 月起	警察厅与谷歌开始合作
2025 年 9 月	福冈县警在网银非法转账案中发现可疑设备
2024 年下半年	恶意模块从后门本体中拆分出来

技术分析：问题不止一家厂商

从系统设计的角度看，这起事件有五点值得工程师和企业注意。

1. 后门的三层结构

x.cpe（部分固件里叫 com.oemservice）在出厂前写进固件，以系统权限运行，并用厂商密钥签名。开机后，它把序列号、MAC 地址、型号和固件版本加密上报到登记服务器，取得 MQTT 连接信息，再长连到指令服务器待命。投放模块前，它会先关闭 Google Play Protect 的应用校验，再静默安装。

2024 年下半年起，恶意模块交给独立的加载器 com.abc.nexus 执行；2026 年 8 月起，又换成伪装成系统应用的小型 dropper。运营方能做的事包括：静默安装应用、以系统权限执行 shell 命令、截取实时屏幕、注入按键、收集账号和设备信息、做内网侦察、开启反向 shell。

XCPE 架构图：左侧为设备固件中的三层代码（x.cpe 后门、加载器与 dropper、变现模块），右侧为已被拿下的登记服务器与 MQTT 指令服务器

红色虚线框是这次被拿下的控制面；左侧三层代码都在设备固件里，没有随之消失。

2. 认证测的是“快照”，攻击发生在运行时

与 BadBox、Vo1d 等主要出现在未认证低价盒子上的案例不同，XCPE 跑在通过谷歌认证的设备上。后门用混淆手段躲过安全测试，首次开机后才加载恶意代码。

认证本质上是对某一时刻的固件做抽检；只要出厂后还有一条可被远程改写的通道，静态审核就拦不住。谷歌这次也调整了认证流程，加入固件完整性检查。做设备或客户端软件的团队，应把“首次启动之后的行为”纳入持续监测。

3. 控制面断了，数据面还在

所有样本都连同一个 MQTT broker。对运营方，这是集中调度的便利；对执法方，这是单点——拿下少数域名和服务器，130 万台设备就同时“失联”。

但被切断的只是控制面。每台设备固件里那段拥有系统权限、会自我恢复的代码一行没变，现在成了“无主的后门”。只要将来出现新的控制通道，风险就可能复燃；彻底清除只能靠刷入干净固件或更换设备。

4. 后门即平台

XCPE 把“通道”和“变现”分开：厂商提供装机量和远程下发能力，再把设备访问权卖给下游团伙，由对方投放住宅代理 SDK（如 Linkfog、NetNut、Honeygain、Traffmonetizer）、广告欺诈模块和二次后门。

归因线索恰恰来自运营方的工程疏漏：Synthient 在一个公开目录里找到了署名 Videostrong 研发总监的 PDF；videostrong[.]cn 与指令服务器解析到同一个 IP；后门签名用的是公司邮箱。谷歌据此认为，这不是个别内鬼或开发疏忽。

5. 住宅代理为什么能击穿 IP 风控

住宅代理让攻击流量从普通家庭宽带出去。依赖 IP 信誉和地域封锁（例如拦截海外 IP）的风控因此失效，警方追查也更难。TrendAI 统计，6 月 3 日至 10 月 1 日间有超过 380 万个住宅 IP 被用作出口。

日本警察厅的数据显示，2025 年 4,747 起网银非法转账中，至少 737 起（损失约 13.9 亿日元）使用了这类手法；2026 年还有十几起企业遭非法访问的案件经由家用 IoT 设备中继。

给企业和开发者的建议

最重要的一条：别再把 IP 当成身份。

风控不只看 IP。 登录、转账和后台访问的风控不能只靠 IP 信誉和地域封锁；改用设备绑定、Passkey（FIDO2）和交易级二次确认。
限流按账户和设备维度做。 只按 IP 计数，会被大量“干净”的住宅 IP 稀释。
IoT 设备单独隔离。 办公室和居家办公网络里的电视盒、摄像头，放进独立 VLAN 或访客网络，禁止访问内网和管理端口。
回查日志。 在 DNS 和防火墙日志里检索下表指标。这些域名已被接管，但历史记录能帮你找出曾经中招的设备。
采购把关。 对 ODM 和白牌设备，要求供应商说明固件来源、签名和更新机制；“有认证”不能代替自查。

指标	类型	说明
`x.cpe`、`com.oemservice`	Android 包名	后门本体，系统权限
`com.abc.nexus`	Android 包名	加载器（2024 年下半年起）
`com.android.system.ntp`	Android 包名	伪装成系统应用的 dropper 示例（2026 年 8 月起），需结合签名判断
`anyevonline[.]com` 及其子域	域名	设备登记、配置下发、文件存放
`mqtt.szbboys[.]com`，端口 3885–3887	域名 / 端口	MQTT 指令服务器

域名中的 [.] 是防误点写法，检索时请还原为点号。

普通用户怎么自查

家里有安卓电视盒，建议按下面的顺序检查。

看品牌和型号。 Videostrong 的自有品牌是 MECOOL，同时给其他品牌代工，所以包装上未必看得到它的名字。Synthient 在 2025 年底购买的 MECOOL KM9PRO Max 上确认了预装后门。
别把“谷歌认证”当保险。 这次出事的正是认证设备；截至 11 月 2 日，Videostrong 官网仍在把产品标为“Google 认证”。
恢复出厂设置未必有用。 后门会从 /oem 分区自动重装；彻底清除只能刷入干净固件。断网可以阻止恶意活动，但不能清除感染。
怀疑中招就先断网。 再联系购买渠道要求维修或更换；拿不到干净固件，就停用。
加固家庭网络。 把电视盒等 IoT 设备放进路由器的访客网络；网银和常用账户开启多因素认证，留意异常登录通知。

说明与参考来源

将 XCPE 归于 Videostrong，是谷歌威胁情报小组的评估，不是法院裁定；截至发稿，未见 Videostrong 公开回应。日本警察厅的发布材料只称“IoT 设备”，没有点名 XCPE 或 Videostrong。本文信息截至 2026 年 11 月 7 日。