多国警方联合捣毁130万台安卓电视盒僵尸网络

警方捣毁了一个由130万台受感染Android电视盒子组成的僵尸网络

Videostrong被指控在出货设备中预置后门

一个与日本警察厅合作的私营安全公司联盟捣毁了一个名为XCPE的后门，该后门被用来构建一个庞大的僵尸网络，涉及200多个国家超过130万台Android设备。

参与此次行动的有Google、Lumen、Human Security、Plume、Synthient和TrendAI。

“我们高度确信，该后门和僵尸网络是由Videostrong Technology出于经济目的有意开发、部署和运营的，”Google威胁情报组（GTIG）在周一的博客文章中表示。

Videostrong Technology是一家位于中国深圳的硬件制造商，生产Android设备，包括家用电视盒子和投影仪。据Google称，Videostrong故意将XCPE后门植入设备固件，并向犯罪团伙出售访问权限，允许他们在发给毫不知情的客户的设备上安装额外的恶意模块。当买家将这些设备连接到家庭网络时，预装的后门便允许操作者创建代理网络，并在用户不知情的情况下利用客户的网络连接隐藏恶意流量。

据TrendAI称，固件中预装的管理代理伪装成标准的远程管理客户端。它从GitHub页面拉取更新，并连接到一个MQTT（消息队列遥测传输）服务器，该服务器赋予操作者对每台盒子的完全远程控制权，允许他们安装和卸载应用、更改设置，并向受感染设备推送更新。

在6月3日至10月1日期间，TrendAI记录了超过380万个与该行动相关的独立家庭和移动IP地址。

该联盟还捣毁了用于管理各团伙模块的命令与控制域名。“由于这些团伙各自拥有XCPE之外的多元化模块分发渠道，我们评估认为，捣毁其C2域名将切断对至少1000万台额外受感染设备的访问，”GTIG表示。

Google表示，此后已与Videostrong断绝关系，并禁止该OEM厂商生产预装Google应用的设备。

Videostrong未立即回应《The Register》的置评请求。

此次后门和僵尸网络行动与BadBox 2.0属于同一生态系统，后者是另一个臭名昭著的僵尸网络，在2025年3月被Human、Google和TrendAI捣毁之前，曾感染超过1000万台电视盒子及其他设备。®