家裡那台便宜的 Android 電視盒，可能出廠就是別人的「殭屍」。Google 11 月 2 日宣布聯手日本警察廳與多家資安業者，瓦解控制逾 130 萬台 Android 裝置的 XCPE 殭屍網路，並高度確信後門是由中國深圳的裝置製造商 Videostrong Technology刻意預載在韌體裡。TrendAI 統計，台灣觀測到約 8.8 萬台受感染裝置，全球排名第 5。問題是：伺服器被關了，後門還留在裝置裡，恢復原廠設定也清不掉。
事件經過
- Google 威脅情報團隊（GTIG）11/2 發布報告，聯手日本警察廳，以及 Lumen、HUMAN Security、Plume、Synthient、TrendAI 等業者，拆除 XCPE 的指揮控制（C2）基礎設施。
- 此次行動也切斷了十多個相關惡意程式家族的 C2，Google 估計因此另外斷開至少 1,000 萬台以其他方式遭感染的裝置（包含零售機上盒、卡拉 OK 機、遠距醫療設備，不全是 Android）。
- Google 已終止與 Videostrong 的合作，撤銷其生產預載 Google 服務之 Android TV 裝置的授權，並禁止該公司及未來關係企業生產認證 Android 裝置或供應軟體給認證廠商。
- Synthient 是在一台 2025 年底購買的 MECOOL KM9PRO Max 電視盒中發現預載後門，再從 C2 伺服器公開目錄中的文件、網域指向的 IP 與用來簽署後門的公司 Email，追查到 Videostrong。（調查並未證明所有 MECOOL 或 Videostrong 產品都受感染。）
重點
後門能做什麼
依 Google 報告，主要元件 `x.cpe`／`com.oemservice` 以 Android 系統層級權限執行，開機後連線 C2 取得 MQTT 連線資訊並接收指令，可以：
- 靜默下載、安裝其他 App
- 關閉 Google Play 安全防護（Play Protect）
- 以系統權限執行 shell 指令與腳本
- 擷取螢幕畫面、注入按鍵
- 收集帳號資訊、裝置資料、已安裝 App 清單與系統日誌
- 進行網路偵察、建立反向 shell
怎麼賺錢
- 住宅代理：把你家的網路變成代理節點，讓第三方流量經由你的家用 IP 進出。TrendAI 在 6～10 月間記錄到 3,849,226 個不同的住宅 IP，平均每天約 18.2 萬個 IP 可用。
- 廣告詐欺：背景載入隱藏網頁、自動點擊廣告。
- 安裝其他後門：如 Moyu、Spirit、Bird 等，部分曾與 2025 年被瓦解的 BADBOX 2.0 有關。
各國受感染數（TrendAI，2026/6/3～10/1 間歇觀測）
| 排名 | 國家／地區 | 觀測到的受感染裝置 |
|---|---|---|
| 1 | 馬來西亞 | 300,390 |
| 2 | 巴西 | 150,080 |
| 3 | 伊拉克 | 124,298 |
| 4 | 墨西哥 | 94,588 |
| 5 | 台灣 | 88,350 |
TrendAI 共觀測到 1,472,554 台受感染裝置、206 種型號、遍及 170 多國；因為是間歇觀測，數字代表「看到的」感染數，實際可能更多。
為什麼清不掉
- 後門是用製造商金鑰簽署的系統 App，一般使用者無法移除。
- Google 指出，就算移除，`x.cpe` 也會從韌體的 /oem/ 分割區自動重新安裝，恢復原廠設定無效。
- 部分受感染裝置甚至通過了 Google 的 Android 認證：Videostrong 用混淆技術躲過測試，開機啟用後才下載惡意元件。Google 表示已調整認證審查流程。
對你的實務建議
- 盤點家中電視盒、投影機、卡拉 OK 機：特別是網購、夜市、來路不明的「破解盒」「越獄盒」，或品牌不明的 Android TV 裝置。
- 檢查型號與韌體：對照製造商與資安業者公布的型號清單，聯繫廠商確認是否有經驗證的乾淨韌體。
- 確認受感染就斷網、停用：Synthient 建議確定受感染的裝置直接斷網並汰換；在換掉之前至少不要讓它連上家中網路。
- 網路分段：若一定要用，把電視盒放到路由器的訪客網路，與手機、電腦、NAS 隔開，降低被拿來偵察內網的風險。
- 不要在電視盒上登入重要帳號：Google、串流平台、購物帳號都可能被收集，曾登入過的建議改密碼並開兩步驟驗證。
- 留意網路異常：家中上傳流量莫名偏高、IP 被網站封鎖或一直跳驗證碼，可能是被當成住宅代理。
- 買裝置選有長期更新紀錄的品牌，並保持路由器韌體更新、Google Play 安全防護開啟。
資料來源
- Google Cloud Blog（GTIG）：Shutting the Door on the XCPE Botnet
- BleepingComputer：Google disrupts million-device XCPE Android malware botnet, bans TV box maker
- TrendAI：TrendAI Research Helps Disrupt Botnet of More Than 1.3 Million Pre-Infected Set-Top Boxes
- iThome：Google聯手日本警方瓦解XCPE殭屍網路，臺灣也有近9萬臺
- Malaysian Wireless：Malaysia Leads XCPE Android TV Botnet with 300,390 Devices
- CyberScoop：Google shuts down global botnet running on certified Android devices
發表留言