谷歌封禁中国安卓机顶盒厂商 逾130万台设备被植后门

时间：2026年11月2日，谷歌威胁情报组（GTIG）公布XCPE僵尸网络处置报告；拆除服务器与封禁厂商的行动在此前数日完成。 地点：行动由谷歌主导，波及全球170多个国家；涉事厂商为中国安卓设备代工商Videostrong Technology Co.。 人物：谷歌威胁情报组中断行动负责人Charley Snyder；合作方包括日本警察厅、Lumen Technologies、HUMAN Security、Plume、Synthient与TrendAI；被谷歌断交并封禁的厂商Videostrong。 事件详情：谷歌在11月2日的博客中宣布，Google与行业伙伴拆除了XCPE后门及其控制网络。GTIG以高置信度认定，安卓OEM与ODM厂商Videostrong Technology Co.是XCPE后门与僵尸网络的开发、部署和运营方，靠向刑事团伙出售设备访问权变现，再把这些团伙的恶意模块加载到受感染设备上。后门组件以系统权限运行，开机后从受保护的分区自动重新安装，还能改写校验包的设置以关闭Google Play Protect，并抹掉用户同意记录；2026年8月以来，运营者还使用伪装成系统包的植入程序，借助提权漏洞写入系统分区。受影响设备包括超过130万台安卓电视机顶盒，另有远程医疗设备、卡拉OK机、数字标牌等安卓设备被感染；关停团伙命令域名还切断了至少1000万台来自不同厂商的受感染设备的访问通道。团伙把这些设备用于广告欺诈、窃取账号信息、软件包清单与系统日志，把流量导入住宅代理网络，并可远程截屏、注入按键、执行shell脚本。谷歌对Videostrong及其未来子公司与关联方下禁令：不得生产或销售带预装谷歌应用的认证安卓设备，也不得向认证设备厂商供应软件，并切断了与该公司的合作关系；谷歌同时收紧了认证安卓电视设备的固件完整性校验，并修改了厂商审核流程。 背景：Videostrong多年来在自家销售的设备中预装恶意代码，靠在设备首次开机之后再加载的方式绕过谷歌上市前后的安全检测，谷歌称这一活动并非孤立的内部人员或开发疏忽。TrendAI研究人员表示，该僵尸网络覆盖170多个国家，受感染设备集中在马来西亚、巴西、伊拉克和墨西哥等地，美国境内6月至10月间有近4.4万台设备被感染。接入的后门团伙把变现生意外包给Linkfog、AppSalt与Honeygain、GaGaNode、NetNut、Traffmonetizer等住宅代理服务商，这类网络被用于账号接管、支付欺诈、广告点击欺诈、网页抓取和DDoS。Android Authority报道称，Videostrong是机顶盒品牌MECOOL背后的厂商，MECOOL盒子在多个电商平台面向全球销售，该媒体在发稿前已向MECOOL求证。 影响：对仍在使用涉事品牌机顶盒的用户来说，后门以系统权限驻留且能在重启后自我恢复，卸载应用或重置设置无法清除，需要更换设备。对做安卓硬件出海的中国厂商，这起事件把认证环节的责任摆到了台面上：谷歌的认证设备审核流程曾被用来给预装后门开门，谷歌此次明确修改了审核流程，并禁止该厂商及其未来子公司、关联方继续生产销售认证安卓设备或向认证厂商供应软件，硬件贴牌出海多了一道认证合规检查。对谷歌自身来说，被切断的不只是130万台机顶盒，还包括住宅代理产业链上的十余个恶意团伙；谷歌也提醒，作弊后门团伙、广告欺诈团伙与住宅代理供应商之间是相互咬合的供应链，某一环被打掉后，运营者会迅速转向新的加载器或替代的变现SDK。 总结：这次处置的特殊之处在于，问题不是外部黑客钻了安卓的漏洞，而是一家拿到谷歌认证的设备厂商主动把后门写进固件，再把设备的访问权当成商品卖给犯罪团伙，谷歌最终选择把结论落到厂商层面，直接断交并封禁。对硬件厂商来说，认证资质既是通行证也是责任；对普通用户来说，机顶盒出现异常广告或流量异常时，要怀疑的是固件而不是某个应用。谷歌的提醒也值得记住，这类变现链条恢复得很快，被拆掉的只是其中一个环节。 参考来源： Google威胁情报组官方博客：Shutting the Door on the XCPE Botnet（2026年11月2日） https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet CyberScoop：Google shuts down global botnet running on certified Android devices（2026年11月2日） https://cyberscoop.com/google-disrupts-xcpe-botnet-videostrong-android-devices/ Infosecurity Magazine：Police and Tech Firms Team Up to Dismantle XCPE Botnet（2026年11月3日） https://www.infosecurity-magazine.com/news/police-tech-firms-team-up-to/ Help Net Security：Google disrupts XCPE botnet, bans the company behind it（2026年11月2日） https://www.helpnetsecurity.com/2026/11/02/xcpe-botnet-android-backdoor/ 9to5Google：Google shuts down malware backdoor on Android TV boxes（2026年11月2日） https://9to5google.com/2026/11/02/google-android-tv-box-backdoor-shut-down/ Android Authority：A major Android TV box maker just got busted by Google for running a malware racket（2026年11月3日） https://www.androidauthority.com/android-tv-box-maker-google-botnet-malware-3730930/