谷歌联合行业伙伴拆除XCPE僵尸网络，Videostrong被指开发后门

让最具威胁性的风险无所遁形，并提供相关背景信息。

上周，Google 与行业合作伙伴共同捣毁了一个名为 XCPE 的后门程序，该后门已将超过 130 万台机顶盒纳入一个僵尸网络。我们高度确信，该后门程序及僵尸网络是由 Android 原始设备制造商（OEM）和原始设计制造商（ODM）Videostrong Technology Co. 出于经济获利目的而故意开发、部署和运营的。

Videostrong 通过向犯罪团伙出售访问权限，并将这些团伙的恶意软件模块加载到受感染设备上，从而利用该后门获利。这些次级模块在进行广告欺诈；悄悄将受感染设备纳入住宅代理网络；并向被 XCPE 感染的设备加载更多恶意软件。我们还采取了行动，打击了运营这些团伙模块的命令与控制（C2）域名。由于这些团伙各自拥有 XCPE 之外的多元化模块分发渠道，我们评估认为，捣毁其 C2 域名将切断至少另外 1000 万台受感染设备的访问通道。

我们发现，这款恶意软件多年来被直接内置到许多不同的设备型号和品牌中，并配有专门的基础设施和不断演变的配置，以逃避检测并管理其团伙。我们认为，这一活动并非孤立的内部人员违规行为，也非开发过程中的疏忽。因此，Google 已切断与 Videostrong 的关系，并禁止其生产预装 Google 应用的设备。

Google 要求 OEM 通过一套全面的兼容性和安全测试，以确保整个 Android 生态系统一致且安全的用户体验。然而，Videostrong 利用混淆技术钻了我们测试中的空子，在设备首次启动后加载恶意代码。因此，Google 已对其现有审核流程实施更改，以更好地防范未来类似活动。设备制造商故意用恶意软件感染其用户，这是不可接受的信任背叛，并对这些用户构成严重风险。在用户不知情或未同意的情况下，受感染设备被用作众多犯罪分子的分发机制。这导致在设备上及通过设备进行各种恶意活动，包括广告欺诈、数据窃取，以及通过设备路由恶意网络流量。

我们与日本国家警察厅、Lumen、HUMAN Security、Plume、Synthient 和 TrendAI 密切合作，分析了这一恶意软件生态系统并捣毁了其运营。

虽然我们预计此次打击将对这些犯罪活动产生重大影响，但这并非我们打击恶意活动工作的终点。后门运营者、广告欺诈团伙和住宅代理提供商构成了一个相互关联的供应链。即时打击是保护用户的关键工具，但要在这个流动的生态系统中实现持久打击，需要持续针对这一基础设施。

Google 采取了以下行动以支持捣毁 XCPE 僵尸网络：

采取法律行动，捣毁 Videostrong 用于控制僵尸网络和安装恶意软件模块的域名和服务器 采取法律行动，捣毁通过此后门作为模块加载的十余个恶意软件家族所使用的 C2 域名 禁止 Videostrong 及其未来任何子公司或关联公司今后生产和销售经过认证的 Android 设备，或向其他经过认证的供应商提供软件 改进我们确保经过认证的 Android TV 设备固件完整性的方式

x.cpe 网络是为持续获利而构建的。通过向恶意软件团伙提供后门访问权限，运营者合谋在设备售出很久之后仍利用这些设备获利。

至少自 2024 年底以来，Videostrong 已将其预装恶意软件从简单的单阶段释放器演变为模块化的三阶段架构，旨在实现弹性和多租户获利：

主后门：x.cpe（在某些版本中以 com.oemservice 运行）以 android.uid.system 权限级别运行，预装在固件分区中。如果用户卸载，它会在重启后从 /oem/ 分区自动重新安装，从而维持持久的系统级访问权限。其主要功能是建立并促进 C2 服务器与加载器和执行引擎之间的通信。

加载器和执行引擎：为逃避安全扫描，x.cpe 主要充当 C2 通信器，并将模块执行任务卸载给外部加载器 com.abc.nexus。该文件采用原生反分析工具来阻挠沙箱检测，并配置和初始化获利模块。最近，com.abc.nexus 本身也已被逐步淘汰，转而使用更有针对性的释放器恶意软件来加载和执行单个模块。

获利模块：Videostrong 通过加载由 Videostrong 以外的实体（即团伙）开发的获利模块，从被植入后门的设备中获利。这些模块以原生 ELF 守护进程、直接编译进 com.abc.nexus DEX 字节码的嵌入式 SDK 的形式部署，或作为次级 APK 从恶意软件暂存基础设施获取。加载的模块将受感染设备转变为住宅代理出口节点（如 Linkfog、AppSalt、NetNut）、广告欺诈引擎（如 CBOXTV、HiddenView），或执行加载更多获利模块的额外后门（如 Moyu、Spirit）。

恶意软件暂存基础设施：额外的获利模块以及各种 shell 脚本和合法应用程序托管在远程服务器上，受感染设备在运营者通过 MQTT broker 下达命令后下载这些文件。其中绝大多数文件以 GitHub release 的形式托管在运营者拥有的 GitHub 页面上。其他文件则托管在运营者控制的服务器和文件托管网站上。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）