{"id":"mb-20261103-a37528","kind":"deep","title":"谷歌端掉130万台安卓盒子僵尸网络：官方认证厂商为何出厂自装后门偷卖用户宽带","summary":"谷歌联手多国安全机构端掉代号XCPE的庞大恶意网络。调查发现，涉事的硬件制造商在出厂固件中蓄意植入系统级后门，避开安全审核并在用户开机后激活，将全球130多万台机顶盒变成黑客的住宅代理网络与广告欺诈工具，揭开廉价硬件背后的双重变现链条。","body":"买了正规认证的电视盒子插在客厅，家里的宽带就被偷偷卖给黑客了。\n有没有搞错？\n盒子不是路边摊买的三无产品。\n它是通过了官方安全认证的正规设备。\n买回家的人也没乱点木马链接，更没下载任何盗版软件。\n但只要把它往电视机上一接、插上网线，它就开始在暗地里替别人打工。\n\n这是谷歌最新公布的一起跨国网络安全行动。\n他们联手日本警察厅以及多家网络安全机构，端掉了一个潜伏极深的大型恶意网络。\n代号 XCPE。\n这个网络控制了全球超过 130 万台安卓电视盒子，遍布两百多个国家。\n\n平常看到这种僵尸网络，大家习惯性会觉得是供应链被黑了。\n比如代工厂的电脑中了病毒，或者上游哪段开源代码被投了毒，厂商自己也是受害者。\n但这回查出来的结论极其离谱。\n根本没有什么潜入供应链的神秘黑客。\n写后门、装后门的人，就是生产盒子的厂商自己。\n\n涉事的硬件厂商叫 Videostrong，生产的设备挂着 Mecool 等品牌卖向全球。\n它可不是什么地下无牌小作坊。\n它是通过了谷歌官方认证的安卓原始设备制造商。\n\n既然是官方认证的设备，送检时难道查不出来吗？\n安卓设备要想拿到官方认证，必须通过一整套严格的兼容性与安全测试。\n那厂商是怎么把木马送进去的？\n他们玩了一手很贼的代码混淆。\n在送给官方测试的时候，后门代码处于深度休眠状态，甚至根本不执行。\n所有安全检测跑完，代码干干净净，指标全绿。\n真正的恶意程序，被设定在消费者买回家第一次开机之后才触发。\n只要用户在家里接通电源、连上网线，后门程序才正式在后台解包激活。\n\n而且它直接跑在系统的最高权限分区里。\n激活后的第一件事，就是偷偷关闭系统自带的 Google Play 保护机制。\n这样无论它往设备里下载什么新模块，系统都不会弹窗报警。\n更绝的是，就算有懂技术的用户在系统里找到了后门文件，强行把它删掉。\n只要设备一重启，受保护分区就会立刻把后门重新写回系统。\n普通用户根本删不掉它。\n\n正规硬件厂商，为什么要冒这么大风险在自己产品里埋雷？\n算一下账就明白了。\n现在白牌安卓机顶盒在海外市场竞争激烈，一台机器可能就赚几块钱的硬件零头。\n但这家厂商发明了一套双重变现的打法。\n明面上，把盒子卖给全球各地的消费者，收一笔硬件钱。\n暗地里，把这 130 多万台时刻通电、连着家庭宽带的盒子，打包出租给网络犯罪分子，再收一笔租金。\n\n黑客租这些盒子拿来干什么？\n他们看中的，是普通人家里的宽带 IP。\n黑客如果用机房服务器去撞库、盗取账号或者刷广告，网站的防御系统一看 IP 属于数据中心，立刻就会拦截。\n但如果流量是从你家客厅的电视盒子里发出来的呢？\n在风控系统眼里，电信运营商分配给家庭宽带的住宅 IP，信用最高，最像真实人类。\n黑客把这些电视盒子变成非法的住宅代理网络。\n大量的攻击请求和虚假广告流量，先从黑客手里发到你家的盒子里，再从你家的宽带转出去。\n网站以为全是真实住客在正常上网，根本拦不住。\n要是哪天警方顺着网络痕迹去查案，第一步查到的也是你家客厅，而真正的黑客早就溜得无影无踪。\n这还不算完。\n这个后门还是个万能投放器，黑客随时能往盒子里远程塞进十几种其他木马，用来记录按键、截屏，甚至伪造虚假视频点击去骗取广告费。\n\n查清整套链条之后，谷歌和安全联盟直接端掉了黑客用来下发指令的主服务器和域名，切断了远程控制。\n同时，谷歌正式吊销了这家厂商的所有官方认证资质，把它和旗下所有关联公司永久踢出安卓生态。\n卖硬件给普通人只能赚一次零钱。\n而把客厅插座和家庭宽带卖给黑客，才是源源不断的生意。","topic":"谷歌端掉130万台安卓盒子僵尸网络：官方认证厂商为何出厂自装后门偷卖用户宽带","frame_type":["机制"],"citations":[],"channel_note":"","identity_notice":"","source_type":"generated","status":"published","generated_at":"2026-11-03 21:06:58","legal_anchor_count":0,"transcript_citation_count":0,"seo_title":"谷歌端掉130万台安卓盒子僵尸网络：官方认证厂商为何出厂自装后门偷卖用户宽带","description":"谷歌联手多国安全机构端掉代号XCPE的庞大恶意网络。调查发现，涉事的硬件制造商在出厂固件中蓄意植入系统级后门，避开安全审核并在用户开机后激活，将全球130多万台机顶盒变成黑客的住宅代理网络与广告欺诈工具，揭开廉价硬件背后的双重变现链条。","domain":"software","domain_label":"软件与工程","domain_label_en":"Software & Engineering","domain_url":"https://mubeitech.com/deep?domain=software","canonical_url":"https://mubeitech.com/deep/mb-20261103-a37528","markdown_url":"https://mubeitech.com/deep/mb-20261103-a37528/markdown","json_url":"https://mubeitech.com/api/interpretations/mb-20261103-a37528","published_at":"2026-11-03T21:06:58Z"}