Google联合行业伙伴捣毁XCPE僵尸网络，涉130万台电视盒子

Google今日表示，已与行业伙伴合作，捣毁了一个由超过130万台Android电视盒子组成的僵尸网络。这些设备出厂时即预装恶意软件，秘密将用户的网络连接出租给陌生人，并从事广告欺诈。参与此次取缔行动的专家表示，该行动很可能切断了该僵尸网络对另外逾1000万台受感染系统的访问权限，这些系统包括其他物联网（IoT）产品，如基于Android的医疗健康设备和卡拉OK机。

Google威胁情报小组（GTIG）的一份报告称，Google已切断与中国电视盒子制造商Videostrong Technology Co.的联系。GTIG及其他行业专家认定，该公司应对预装恶意软件负责，这些软件使超过130万台机顶盒加入了名为“XCPE”的僵尸网络（名称取自该恶意软件的一个核心代码组件）。

报告称，XCPE僵尸网络在用户设备上加载软件，使用户的互联网地址可供多家“住宅代理”服务转售。这些服务允许客户租用互联网地址，以此匿名化其网络流量或伪造真实位置。正如过去一年本刊多篇报道所详述的，住宅代理服务是不良且往往具有恶意流量的主要来源，包括账户接管活动、广告欺诈以及为AI项目进行的大规模内容抓取。

“Videostrong通过向犯罪关联方出售访问权限，并将这些关联方的恶意软件模块加载到受感染设备上来实现后门变现，”GTIG的文章写道，并指出Google已采取法律行动，关停了Videostrong用于控制僵尸网络和安装额外恶意软件的域名及服务器。“设备制造商故意用恶意软件感染用户，是不可接受的信任背叛，对用户构成严重风险。在用户不知情或未同意的情况下，受感染设备被用作众多犯罪分子的分发机制。”

报告指出，尽管电视盒子构成了该僵尸网络的大部分，但同样的XCPE恶意软件也出现在其他基于Android的IoT产品中，包括远程医疗设备、卡拉OK机，甚至数字标牌系统。

Google表示，要求所有Android设备制造商通过兼容性和安全测试，以确保其产品不会伤害用户，但Videostrong仍然找到了方法，在用户首次启动这些设备后立即加载其恶意软件（Google称此后已修复该漏洞）。

GTIG的报告点名了多家住宅代理提供商，其软件开发工具包经常被XCPE僵尸网络感染的设备下载。其中包括AppSalt，也称为Honeygain，隶属于总部位于立陶宛维尔纽斯的Oxylabs。2026年10月，Oxylabs在获得私募股权公司Warburg Pincus 1.3亿美元融资后，以新品牌Source重新亮相，据报道该业务估值达36亿美元。Oxylabs未回应置评请求。

另一家与僵尸网络有关联的提供商是NetNut，这是一家由上市公司以色列Alarum Technologies运营的曾经规模庞大的住宅代理公司。2026年7月，FBI与行业伙伴合作查封了与NetNut相关的数百个域名，称该公司运营着另一个名为Popa的僵尸网络，将电视盒子沦为住宅代理。GTIG报告中提到的其他代理提供商包括EarnFM、Traffmonetizer、Jaguar、LINKFOG、BMW/IPWeb和GaGaNode。

Google的公告感谢了多家行业伙伴，包括追踪代理提供商的初创公司Synthient。2026年1月，Synthient发表了关于Kimwolf僵尸网络迅速蔓延的研究，该僵尸网络当时正以破纪录的DDoS攻击冲击全球网络。Synthient记录了Kimwolf如何几乎在一夜之间感染数百万台Android机顶盒，利用这些住宅代理服务中广泛存在的漏洞，入侵毫无戒心的电视盒子用户本地网络中的其他基于Android的设备。

Synthient的研究促使数十家住宅代理提供商修补其网络，这有助于将Kimwolf僵尸网络分裂成更小的碎片，使网络运营商更容易管理其持续且破坏性的DDoS攻击。这也引起了美国电影协会（MPA）的注意，该行业协会代表好莱坞主要制片厂，与Synthient合作购买并拆解了多款流行的Android电视盒子——其中包括一些正被Kimwolf和其他IoT僵尸网络感染的设备。

在今日发布的一份报告中，Synthient检查了一款以MECOOL品牌销售的热门预感染电视盒子，该产品由中国上市公司创维科技销售。报告得出结论，MECOOL同样捆绑了Videostrong Technology Co.的恶意软件，并同样安装了AppSalt/Honeygain和其他代理组件。

Synthient创始人Ben Brundage告诉KrebsOnSecurity，Videostrong的恶意软件还分发了代理服务Grass的软件。在我们2025年11月的报道《你的Android电视流媒体盒子是僵尸网络的一部分吗？》中，我们引用了Censys的一位研究员，他发现流行的Superbox电视流媒体设备捆绑了Grass的住宅代理软件。我们还引用了Grass创始人的话，他否认与电视盒子制造商有任何关联。

2025年11月的报道指出，Superbox及类似的Android电视盒子主要通过Tiktok等社交网络上的网红来获取新客户，这些网红夸赞该产品能够以一次性费用提供数百个（盗版）付费电视流媒体服务。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）