谷歌联合多家合作伙伴，成功摧毁了一个由受认证 Android 设备制造商故意部署在超过 130 万台电视机顶盒上的僵尸网络。
根据谷歌威胁情报小组（GTIG）发布的一份报告，总部位于中国深圳的 Android 原始设备制造商（OEM）视壮科技（Videostrong Technology Co.）在其销售的多款设备中植入了后门。网络犯罪分子利用这些后门建立了名为“XCPE”的庞大僵尸网络，用于实施广告欺诈、窃取数据，并通过住宅代理网络路由恶意流量。
谷歌采取法律行动并全面封杀涉案厂商
谷歌采取了法律行动，查封了视壮科技用于控制该僵尸网络的域名和服务器。同时，谷歌还关闭了十几个恶意软件家族通过 XCPE 后门作为模块运行的指挥与控制（C2）域名。谷歌声明，这一行动打断了黑客对来自不同制造商的至少 1,000 万台额外受害设备的访问。
多年来，视壮科技一直在销售预装恶意软件的 Android 设备。该公司在设备首次开机后才加载恶意代码，从而绕过了谷歌的安全测试。 GTIG 打击行动负责人查理·斯奈德（Charley Snyder）在接受 CyberScoop 采访时表示：“XCPE 的运营者不断更新其配置，以躲避谷歌在设备发布前和发布后的检测。”
斯奈德拒绝透露谷歌最初是在何时以及如何发现这家经认证的供应商在 Android 设备上运行僵尸网络的。
谷歌研究人员在报告中写道：“我们在多年的多个不同设备型号和品牌中，发现了直接内置的此类恶意软件。该项目由专用基础设施支持，并通过不断变化的配置来逃避检测和管理其合作者。我们认为，这次行动绝非孤立的内部人员作恶或开发上的疏忽。”
谷歌已禁止视壮科技及其未来的任何子公司制造或销售经过认证的 Android 设备，并表示已修改审查流程，以在未来检测并阻止类似行为。不过，斯奈德表示，谷歌不会公开这些改进的具体细节，以免向威胁制造者提供可能有助于绕过新防护措施的信息。
受害设备范围及全球影响
构成 XCPE 僵尸网络的大多数设备是 Android 电视机顶盒，但研究人员还观察到了受感染的 Android 远程医疗设备、卡拉 OK 机和数字指示牌。
研究人员在报告中补充道：“在用户不知情或未同意的情况下，受感染设备被提供作为广泛犯罪分子的分发机制。这导致在这些设备上以及通过这些设备开展了各种恶意活动，包括广告欺诈、数据外泄以及路由恶意网络流量。”
根据 TrendAI 研究人员的数据，该僵尸网络跨越了 170 多个国家，受感染设备最集中分布在马来西亚、巴西、伊拉克、墨西哥和中国台湾。在 2026 年 6 月至 10 月期间，美国境内有近 44,000 台受感染设备。
在调查和打击该僵尸网络的过程中，谷歌还与日本警察厅（Japan’s National Police Agency）、 Lumen Technologies 、 Human Security 、 Plume 和 Synthient 等机构及公司展开了合作。
谷歌表示，拆除 XCPE 严重打击了十几名恶意行为者，但同时也警告称，后门、广告欺诈和住宅代理网络背后的基础市场极具韧性，且正作为一个互相连接的供应链在持续运转。
原文：CyberScoop
