Google拆掉了一个藏在电视盒子里的僵尸网络，并把矛头指向了生产这些盒子的厂商。2026年11月2日，Google威胁情报小组发表题为《Shutting the Door on the XCPE Botnet》的披露，称XCPE僵尸网络已登记超过130万台设备，分布在200多个国家和地区，绝大多数是安卓电视机顶盒。Google以“高度确信”评估，后门由深圳厂商Videostrong有意植入固件、部署并运营牟利。Google已与该公司断绝业务往来，并永久禁止其生产获得认证的安卓设备。
后门藏在固件里，检测时先装睡
XCPE后门的主体是名为x.cpe的程序，在部分固件里也以com.oemservice的名义出现，以安卓系统级权限运行。它不是用户下载应用时带进来的，而是出厂前就写进了固件。Google的调查称，Videostrong在送检时让后门保持休眠，躲过了兼容性与安全测试，等设备首次开机后才加载恶意载荷；即使卸载，后门也会在重启后从固件分区重新装回。受影响的不只是电视盒子，还包括远程医疗设备、卡拉OK机和数字标牌。Videostrong以自有品牌MECOOL销售电视盒，同时为其他品牌代工生产，同一后门因此出现在多个品牌和型号里。被植入的设备随后被租给犯罪团伙，用来做广告欺诈、代理流量和继续安装其他恶意软件。
打掉的不只是130万台
这次清网行动发生在10月下旬，11月2日才对外披露。Google与日本警察厅、Lumen、HUMAN Security、Plume、Synthient和TrendAI合作，通过法律手段拿下了僵尸网络的控制服务器和域名。Google评估，顺带打掉的关联团伙控制基础设施，还可能切断犯罪分子对另外至少1000万台受感染设备的访问。这1000万台并不属于XCPE本身，而是通过同一批分发渠道感染的其他设备。Google同时表示，已收紧认证安卓设备的固件完整性检查，堵住送检时休眠、开机后激活的漏洞。
需要划清两条边界。第一，130万台的归因是Google威胁情报小组的评估结论，不是法院裁定。第二，Google的披露没有给出普通用户自行清除已装机后门的办法，断网清的是控制端，不是每台设备里的固件。对买过廉价安卓电视盒的用户来说，真正的麻烦还在设备本身：后门写在出厂固件里，恢复出厂设置也未必能除掉它。
