Google 捣毁 130 万台设备僵尸网络，指电视盒子厂商出售犯罪访问权限

Google disrupting 1.3M 设备僵尸网络，称电视盒子制造商出售犯罪访问权限

对最重要威胁的可见性与上下文。

上周，Google 与行业合作伙伴共同拆除了 XCPE 后门，该后门将超过 130 万台机顶盒纳入了僵尸网络。我们高度确信，该后门和僵尸网络是由 Android 原始设备制造商（OEM）和原始设计制造商（ODM）Videostrong Technology Co. 出于经济获利目的而有意开发、部署和运营的。

Videostrong 通过向犯罪关联方出售访问权限，并将这些关联方的恶意软件模块加载到受感染设备上来通过后门获利。这些次级模块在进行广告欺诈；悄悄将受感染设备纳入住宅代理网络；以及将更多恶意软件加载到受 XCPE 感染的设备上。我们还采取了行动，扰乱了运营这些关联模块的命令与控制（C2）域名。由于这些关联方各自拥有除 XCPE 之外多样化的模块分发渠道，我们评估认为，拿下他们的 C2 域名将切断对至少 1000 万台额外受感染设备的访问。

我们发现，这种恶意软件在多年间被直接内置到许多不同的设备型号和品牌中，并由专门的基础设施支持，且不断演变的配置用于规避检测和管理其关联方。我们认为，这一行动并非孤立的内部恶意人员行为或开发疏漏。因此，Google 已切断与 Videostrong 的关系，并禁止其生产预装 Google 应用的设备。

Google 要求 OEM 通过一套全面的兼容性和安全测试，以确保整个 Android 生态系统一致且安全的用户体验。然而，Videostrong 使用了混淆技术来利用我们测试中的漏洞，并在设备首次启动后加载恶意代码。因此，Google 已对现有审核流程实施更改，以更好地防范未来类似活动。设备制造商故意用恶意软件感染其用户是不可接受的信任背叛，并对这些用户构成严重风险。在用户不知情或未同意的情况下，受感染设备被提供作为众多犯罪行为者的分发机制。这导致在设备上并通过设备进行各种恶意活动，包括广告欺诈、数据外泄以及通过设备路由恶意网络流量。

我们与日本警察厅、Lumen、HUMAN Security、Plume、Synthient 和 TrendAI 密切合作，分析这一恶意软件生态系统并扰乱其运营。

尽管我们预计这次扰乱将对这些犯罪运营产生重大影响，但这并不是我们打击恶意活动工作的终点。后门运营者、广告欺诈团伙和住宅代理提供商作为一个相互关联的供应链运作。定点清除是保护用户的关键工具，但在这个流动的生态系统中实现持久扰乱，将需要持续针对这一基础设施。

Google 采取了以下行动以支持扰乱 XCPE 僵尸网络：

采取法律行动，拿下 Videostrong 用于控制僵尸网络和安装恶意软件模块的域名和服务器 采取法律行动，拿下通过此后门作为模块加载的十几个恶意软件家族所使用的 C2 域名 禁止 Videostrong 及其未来任何子公司或关联方未来制造和销售经过认证的 Android 设备，或向其他认证供应商提供软件 改进我们确保经过认证的 Android TV 设备固件完整性的方式

x.cpe 网络是为了持续获利而构建的。通过给予恶意软件关联方后门访问权限，运营者合谋在设备购买很久之后仍通过这些设备获利。

至少自 2024 年底以来，Videostrong 已将其预装恶意软件从简单的单阶段 dropper 演变为模块化、三阶段架构，旨在具备韧性和多租户获利能力：

主后门：在 android.uid.system 权限级别运行，x.cpe（在某些构建中作为 com.oemservice 运行）预加载在固件分区中。如果用户卸载它，它会在重启时从 /oem/ 分区自动重新安装，从而维持持久的系统级访问权限。其主要功能是建立并促进 C2 服务器与加载器和执行引擎之间的通信。

加载器和执行引擎：为规避安全扫描，x.cpe 主要充当 C2 通信器，并将模块执行卸载到外部加载器 com.abc.nexus。该文件使用原生反分析工具来阻止沙箱检测，并配置和初始化获利模块。最近，com.abc.nexus 自身已被淘汰，转而使用更有针对性的 dropper 恶意软件来加载和执行单个模块。

获利模块：Videostrong 通过加载由作为关联方的其他实体开发的获利模块来通过其后门设备获利。这些模块以原生 ELF 守护进程、直接编译进 com.abc.nexus DEX 字节码的嵌入式 SDK 形式部署，或从恶意软件暂存基础设施获取为次级 APK。加载的模块将受感染设备转变为住宅代理出口节点（例如 Linkfog、AppSalt、NetNut）、广告欺诈引擎（例如 CBOXTV、HiddenView），或执行额外后门以加载更多获利模块（例如 Moyu、Spirit）。

感染链始于一个 stub 包（在某些构建中称为 x.cpe，在其他构建中称为 com.oemservice），它预加载在固件的系统分区中，并以 android.uid.system 权限级别运行。该 stub 功能有限。启动时，它会检查设备的 oem/ 目录中是否存在对应的 x.cpe 包，并如下所述启动安装到 /data/app/ 目录。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）