关闭XCPE僵尸网络之门 | 谷歌云博客

谷歌本周宣布，已联合多家行业伙伴捣毁了一个名为XCPE的后门程序，该程序将超过130万台机顶盒秘密纳入僵尸网络。谷歌威胁情报团队以“高置信度”评估认为，这个后门和僵尸网络是由安卓原始设备制造商（OEM）兼原始设计制造商（ODM）Videostrong Technology（万播科技）有意开发、部署和运营的，目的是牟取经济利益。目前谷歌已切断与Videostrong的合作，并禁止其未来生产预装谷歌应用的认证安卓设备。 事情的来龙去脉并不复杂，但性质相当恶劣。Videostrong将恶意软件直接内置进多年间多个品牌和型号的设备中，并配套专门的基础设施、不断更新配置以规避检测。按照谷歌的说法，这并非个别员工的越轨行为，也不是开发疏忽。Videostrong的变现方式是向网络犯罪团伙出售后门访问权限，再把 affiliate（联盟成员）的恶意模块加载到受感染设备上。这些二级模块负责三件事：广告欺诈、将设备静默接入住宅代理网络、以及继续植入更多恶意软件。换句话说，用户买回家的机顶盒在不知情、未同意的情况下，成了犯罪分子的分发通道和流量中转站，被用来刷广告、窃取数据、转发恶意网络流量。 对普通用户而言，这意味着家里的电视盒子可能在替别人“打工”；对跨境电商卖家来说，这件事的警示在于：低价白牌硬件供应链的合规风险正在显性化。谷歌特别提到，Videostrong利用混淆技术钻了其兼容性与安全测试的空子，在设备首次开机后才加载恶意代码，谷歌已因此修改审核流程。此次行动中，谷歌还同步打掉了支撑这些联盟模块的命令与控制（C2）域名。由于这些联盟成员的分发渠道不止XCPE一条，谷歌评估此举将切断至少1000万台其他受感染设备的访问通道。配合行动的机构包括日本警察厅、Lumen、HUMAN Security、Plume、Synthient和TrendAI。谷歌强调，后门运营者、广告欺诈团伙和住宅代理服务商已形成一条相互连接的供应链，单点打击只是工具之一，持续压制需要长期瞄准这套基础设施。