谷歌端掉130万台安卓盒子僵尸网络：官方认证厂商为何出厂自装后门偷卖用户宽带

买了正规认证的电视盒子插在客厅，家里的宽带就被偷偷卖给黑客了。 有没有搞错？ 盒子不是路边摊买的三无产品。 它是通过了官方安全认证的正规设备。 买回家的人也没乱点木马链接，更没下载任何盗版软件。 但只要把它往电视机上一接、插上网线，它就开始在暗地里替别人打工。

这是谷歌最新公布的一起跨国网络安全行动。 他们联手日本警察厅以及多家网络安全机构，端掉了一个潜伏极深的大型恶意网络。 代号 XCPE。 这个网络控制了全球超过 130 万台安卓电视盒子，遍布两百多个国家。

平常看到这种僵尸网络，大家习惯性会觉得是供应链被黑了。 比如代工厂的电脑中了病毒，或者上游哪段开源代码被投了毒，厂商自己也是受害者。 但这回查出来的结论极其离谱。 根本没有什么潜入供应链的神秘黑客。 写后门、装后门的人，就是生产盒子的厂商自己。

涉事的硬件厂商叫 Videostrong，生产的设备挂着 Mecool 等品牌卖向全球。 它可不是什么地下无牌小作坊。 它是通过了谷歌官方认证的安卓原始设备制造商。

既然是官方认证的设备，送检时难道查不出来吗？ 安卓设备要想拿到官方认证，必须通过一整套严格的兼容性与安全测试。 那厂商是怎么把木马送进去的？ 他们玩了一手很贼的代码混淆。 在送给官方测试的时候，后门代码处于深度休眠状态，甚至根本不执行。 所有安全检测跑完，代码干干净净，指标全绿。 真正的恶意程序，被设定在消费者买回家第一次开机之后才触发。 只要用户在家里接通电源、连上网线，后门程序才正式在后台解包激活。

而且它直接跑在系统的最高权限分区里。 激活后的第一件事，就是偷偷关闭系统自带的 Google Play 保护机制。 这样无论它往设备里下载什么新模块，系统都不会弹窗报警。 更绝的是，就算有懂技术的用户在系统里找到了后门文件，强行把它删掉。 只要设备一重启，受保护分区就会立刻把后门重新写回系统。 普通用户根本删不掉它。

正规硬件厂商，为什么要冒这么大风险在自己产品里埋雷？ 算一下账就明白了。 现在白牌安卓机顶盒在海外市场竞争激烈，一台机器可能就赚几块钱的硬件零头。 但这家厂商发明了一套双重变现的打法。 明面上，把盒子卖给全球各地的消费者，收一笔硬件钱。 暗地里，把这 130 多万台时刻通电、连着家庭宽带的盒子，打包出租给网络犯罪分子，再收一笔租金。

黑客租这些盒子拿来干什么？ 他们看中的，是普通人家里的宽带 IP。 黑客如果用机房服务器去撞库、盗取账号或者刷广告，网站的防御系统一看 IP 属于数据中心，立刻就会拦截。 但如果流量是从你家客厅的电视盒子里发出来的呢？ 在风控系统眼里，电信运营商分配给家庭宽带的住宅 IP，信用最高，最像真实人类。 黑客把这些电视盒子变成非法的住宅代理网络。 大量的攻击请求和虚假广告流量，先从黑客手里发到你家的盒子里，再从你家的宽带转出去。 网站以为全是真实住客在正常上网，根本拦不住。 要是哪天警方顺着网络痕迹去查案，第一步查到的也是你家客厅，而真正的黑客早就溜得无影无踪。 这还不算完。 这个后门还是个万能投放器，黑客随时能往盒子里远程塞进十几种其他木马，用来记录按键、截屏，甚至伪造虚假视频点击去骗取广告费。

查清整套链条之后，谷歌和安全联盟直接端掉了黑客用来下发指令的主服务器和域名，切断了远程控制。 同时，谷歌正式吊销了这家厂商的所有官方认证资质，把它和旗下所有关联公司永久踢出安卓生态。 卖硬件给普通人只能赚一次零钱。 而把客厅插座和家庭宽带卖给黑客，才是源源不断的生意。