AI FRONTIER / AI 前沿 · SIGNAL ANALYSIS

电视盒子出厂就带后门：Google 打掉 130 万台 XCPE 僵尸网络，厂商被永久除名

Google 11 月 2 日披露并打掉 XCPE 僵尸网络：Videostrong 出厂预装后门，130 多万台电视盒子被控，断链不等于清毒，后门仍在设备固件里。

ISSUE 164 · 2026-11-02 · SOURCE / Google 威胁情报团队官方博客 · 状态 / VERIFIED 已核实 · TOKENTA SIGNAL RESEARCH

GOOGLE × XCPE × SUPPLY CHAINREPORTED + ANALYSIS

KEY TAKEAWAYS / 要点

WHAT HAPPENED发生了什么

Google 威胁情报团队 11 月 2 日发文称，上周与合作方联手打掉了 XCPE 后门网络：超过 130 万台机顶盒被纳入僵尸网络，绝大多数是 Android 电视盒子，遍布 200 多个国家和地区。

Google 以高置信度认定，后门与僵尸网络由 Android 代工/设计厂商 Videostrong Technology 有意开发、部署并运营牟利，不是内鬼个人行为，也不是开发疏忽。

后门本体 x.cpe（部分版本叫 com.oemservice）以系统权限预装在固件分区，用户删掉后重启会从 /oem/ 分区自动装回来；它先关掉 Play Protect，再通过 MQTT 长连接收指令，静默装应用、截屏、注按键、收数据。

变现方式是把设备租给犯罪团伙：代理模块把用户宽带变成住宅代理出口，广告欺诈模块刷展示与点击，另有 Moyu、Spirit 等后门模块继续装更多恶意软件。

Google 的处置包括法律手段下线 Videostrong 的控制域名与服务器、下线十几个附属恶意软件家族的控制域名、永久禁止 Videostrong 及其未来关联方生产认证 Android 设备或向认证厂商供软件，并改进认证设备的固件完整性检查。

合作方包括日本警察厅与 Lumen、HUMAN Security、Plume、Synthient、TrendAI；Google 评估，断掉附属模块的控制域名后，至少 1000 万台通过其他渠道感染的设备也将失去控制。

XCPE 与以往电视盒子僵尸网络的关键区别在出身：它不是用户误装应用，也不是非认证杂牌机的灰色产物，而是通过了 Google 兼容与安全测试的认证设备，出厂就带后门。厂商用混淆手段钻了测试空子，首次开机后才加载恶意代码。

这意味着买盒子时认准认证标志已经不够。供应链攻击的防线从应用商店前移到了工厂固件，普通用户几乎没有自查手段，处置责任落到了厂商禁令与固件更新上。

Google 的行动切断了控制通道，但没有清除任何一台设备里的后门。只要设备还联网、固件不换，攻击者换一套控制域名就能卷土重来，130 万这个数字说的是网络规模，不是已修复规模。

对普通用户的实际建议只剩两条：给盒子刷干净固件，或者断网停用。已经买了 Videostrong 代工设备的人，需要先确认自己手里的品牌与型号是否在影响范围，而不是等系统提示。

Tokenta Signal 判断：XCPE 的信号不在 130 万这个数字，而在认证体系第一次被出厂后门正面击穿。防线前移到工厂之后，买设备认品牌与认证标志的旧经验已经不够用，下一信号是 Google 的固件完整性检查改动能否拦住下一个 Videostrong。

本篇事实以 Google 威胁情报团队官方博客为准，1000 万台为 Google 对关联团伙断链效果的自家评估，未经独立验证；断网不等于清毒，后门仍留在已售设备固件里，Google 称需刷干净固件或断网才能彻底处置。本文只做摘要与链接，不转载原文全文。本文不构成任何投资建议。

Google 威胁情报团队官方博客与 The Register 报道双源确认，原文链接已打开验证。

原文：Shutting the Door on the XCPE Botnet ↗
cloud.google.com · 2026-11-02 · Google 威胁情报团队官方博客

更正政策：如本页事实有误，我们保留更正记录并在本页标注。联系 contact@tokenta.com