130 万台安卓电视盒子被偷偷组网，Google 下手拆了

作者：林序

Google 威胁情报组 11 月 3 日宣布拆除 x.cpe 僵尸网络：超过 130 万台安卓电视盒子出厂即带后门，首次联网后静默装模块，被拿去当住宅代理和跑广告欺诈。Google 已与深圳厂商 Videostrong 切断合作，但受影响设备里的模块和关闭的 Play Protect 并不会自动恢复。

11 月 3 日，Google 威胁情报组（GTIG）宣布拆除一个名为 x.cpe 的僵尸网络，并终止与深圳电视盒厂商 Videostrong（中文名未核实）的合作。这个网络峰值时有超过 130 万台安卓电视盒子在线，且多数是拿到 Google 认证的产品 。

所谓僵尸网络，就是一批被同一套后台远程操控的设备。用户照常看电视，设备在背后替人干活——这次干的活主要是出租你家宽带、刷广告 。

后门怎么躲过认证

想做带 Google 应用和品牌的盒子，厂商必须通过兼容性与安全测试。GTIG 的说法是，Videostrong 用了混淆手段，让检测没看出来 。

具体做法是“先过检、后激活”：固件里预置一个叫 x.cpe 或 com.oemservice 的空壳应用，本身不带恶意功能，但握有系统级权限。盒子第一次开机联网，它就回连服务器，按指令静默安装后续模块，同时关掉 Play Protect（Google 自带的应用安全扫描）——否则这些偷偷装上的包会被它标红 。

Google 称已修补这个“首次开机即装”的弱点，并更新认证流程 。

盒子被拿去干什么

一是当住宅代理。简单说，就是把你的家庭宽带 IP 租给陌生人，让对方借你的地址转发流量、隐藏真实位置。二是跑广告欺诈，用虚假点击或曝光骗广告费 。

更直接的风险是控制权。Google 说 Videostrong 能对设备执行终端命令、截屏，还能探测同一局域网里的其他设备，且观察到过实时操作 。换句话说，中招的不只是这台盒子。

拆了，但没拆干净

Google 联合日本警察厅、安全公司 Synthient 和 Trend Micro 行动，通过法律途径关停了 Videostrong 用于控网和投放恶意软件的域名与服务器，并端掉其关联其他恶意活动的控制端。Google 估计，这让 Videostrong 失去了对约 1000 万台受控设备的访问，其中不只有电视盒，还有远程医疗设备、卡拉OK机、数字标牌 。

但对已感染的盒子，处置并不彻底：Play Protect 仍是关闭状态，恶意模块还装着，而且以系统应用形式存在，普通用户不容易删 。Ars 的表述是，这些设备“能用，但不如本该的那么安全” 。

数字有三个版本

Google 说峰值超过 130 万台 ；Trend Micro 统计为 1,472,554 台 ；Synthient 创始人 Ben Brundage 认为 130 万“高度保守”，真实规模可能高得多 。

地域上，绝大多数在巴西、马来西亚、伊拉克、墨西哥和台湾地区，美国、德国、英国、澳大利亚、加拿大也各有数万台在线 。

自家盒子怎么查

第一步，对型号。Synthient 公布了 182 个已知涉事型号，买过 MECOOL 或来路不明的贴牌安卓盒，值得逐条比对 。

第二步，进设置看 Play Protect 是否被莫名关闭——这是本次感染的典型症状之一 。

第三步，回想固件更新来源是否说得清。至于型号在清单上的设备，比较稳妥的处理是不再让它连网；毕竟清理手段有限，重刷固件对普通用户门槛不低 。

品牌关系还有一层：MECOOL 是本案主要涉事品牌，Synthient 称它由中国上市公司 Skyworth Technology 销售，并捆绑了 Videostrong 的恶意软件 。两家公司之间如何定责，公开材料没有逐一说明。MECOOL 在 2023 年因 Linus Tech Tips 的推荐视频走红，该频道表示已把视频改为明确标注“骗局”，并撤下推广链接 。

为什么这件事值得留意

以往类似案件多是盒子出厂后被二次刷机感染，这次是厂商把后门做进固件、开机即激活 。区别在于，用户几乎没有可防范的环节——认证标识也不代表干净。

Android 是开源的，市面上大量不带 Google 服务的贴牌盒子不受认证约束。Google 切断了合作、堵上了流程漏洞，但同样的生意换个牌子仍能重来，只是要重建一套投放体系 。对买家来说，便宜盒子背后多了一项以前不太计入的成本：你家的网络。

转载说明

本文根据以下公开资料整理，原文及配图出处见下方。

• [S1] Google dismantles botnet secretly running on 1.3 million Android TV boxes
• [S2] Tech Firms Dismantle Botnet That Turned 1.3M TV Boxes Into Proxies – Krebs on Security
• 配图 1：来源：krebsonsecurity.com（图片署名见原文） · 图片出处
• 配图 2：来源：krebsonsecurity.com（图片署名见原文） · 图片出处
• 配图 3：来源：krebsonsecurity.com（图片署名见原文） · 图片出处