谷歌 11 月 2 日披露，公司在 10 月下旬通过法律行动接管了一个由 130 多万台 Android 设备组成的僵尸网络的控制域名与服务器。这些设备绝大多数是 Android TV 机顶盒，被指在出厂固件中就预置了名为 x.cpe 的后门。谷歌称”高度确信”设备制造商 Videostrong（深圳）有意在盒子中植入该后门，并把访问权出售给网络犯罪分子，用于广告欺诈和把他人流量导流进用户家庭宽带。这也是继 BadBox 2.0 之后，谷歌第二次对预装后门的电视盒子生态动手。
事件概述
Videostrong 总部位于深圳，既以自有品牌销售安卓电视盒子，也为其他品牌代工。按谷歌的分析，x.cpe 存在于该厂商多年来的多个型号与品牌中，并非某个内鬼的单独行为，也不是开发失误。谷歌强调后门目前仍留在设备上，用户自己无法移除。
TrendAI（Trend Micro 企业业务部门）在 6 月 3 日至 10 月 1 日期间统计到 1,472,554 台被感染设备，覆盖 206 个型号，并认为真实数量至少不低于这个数字。感染量最高的地区为马来西亚、巴西、伊拉克、墨西哥和中国台湾；美国、德国、英国、澳大利亚、加拿大各约在 2.6 万至 4.2 万台之间。
技术细节
x.cpe 以系统应用形式运行在固件内，具备系统级权限。它的行为链条大致是：向僵尸网络 C2 服务器上报并等待指令，执行前先关闭 Google Play Protect 的应用校验，然后静默安装应用、执行命令、截屏、绘制所在网络拓扑，还可以打开反弹 shell 获得盒子的远程命令行。谷歌称已观察到运营方实际使用过其中部分能力——截取实时屏幕、注入按键、导出账号信息、设备信息、应用列表和系统日志。
通过后门下发的大部分模块有两个用途：把盒子变成住宅代理节点或出售闲置带宽，以及伪造在线广告的曝光与点击。此外，远程医疗设备、卡拉OK机、数字标牌设备上也发现了同一后门，说明投放面并不限于电视盒子。
谷歌识别 Videostrong 的证据包括：托管僵尸网络安装包的 GitHub 账号之一名为 yf-videostrong；x.cpe 会把 C2 下发的配置传递给该厂商的其他应用，例如 YokaTV Player 流媒体应用；Synthient 在其中一个 C2 服务器的开放目录里找到一份由 Videostrong 研发总监签署的文档，另有一个 Videostrong 域名与运营方的控制面板解析到同一 IP。Plume 则发现该厂商同时提供这些设备的固件和远程管理工具。
本次行动由谷歌牵头，日本警察厅、Lumen、HUMAN Security、Plume、Synthient 与 TrendAI 共同参与。除僵尸网络自身的 C2 外，谷歌还下线了通过该后门加载的十余个恶意软件家族的控制域名，并估计这一动作可切断犯罪团伙对另外至少 1000 万台已感染设备的访问。谷歌已终止与 Videostrong 的合作，禁止该公司及其未来子公司、关联公司生产或销售认证 Android 设备，也禁止其向其他认证厂商提供软件；同时修改了设备审核流程，加强对认证 Android TV 设备固件的检查。
影响评估
此事的核心风险不在漏洞，而在信任链。设备以”Google 认证”名义销售，恶意代码却藏在通过兼容性与安全测试的固件里，等首次开机后再加载，从而绕过测试环节的检查。谷歌承认这属于对信任的严重违背。
对普通用户而言，后果是家庭公网 IP 被当成代理出口：一旦这些 IP 被用于撞库、刷票、爬虫或欺诈，溯源会指向住户本身。对企业而言，远程办公人员家中这类不受管的消费级设备，实际上已经成为企业攻击面的一部分。
修复建议
- 固件级后门无法靠杀毒软件清除。TrendAI 指出该后门以厂商密钥签名的系统应用形式运行，清理需要厂商动作、平台防护或直接换机；恢复出厂设置能否去掉
x.cpe尚无定论，Plume 仍建议执行恢复出厂，因为模块可能已装入其他后门。 - Synthient 公开了本次活动中出现的 182 个型号清单，但提醒型号名本身不能证明设备已感染，需结合其 IOC 判断。按其建议：用 IOC 排查网络中是否存在 MECOOL 及同类设备，发现的设备离线并报废，封堵报告列出的控制域名与 IP。
- 把智能设备与办公网、NAS、财务系统放在不同网段，禁止跨段互访。
- 企业应将员工家庭网络中的非受管消费级设备纳入攻击面清单，公司资源只允许通过受管终端访问。
需要提醒的是，域名封堵只是切断了控制通道，不是清除。对已经买过低价盒子的站点管理员来说，最省事的处置仍然是换设备，尤其是这台盒子曾经接入过办公网络。