#安全资讯 安卓电视盒子制造商深圳视壮科技 (Videostrong) 在 130 多万台设备里预装后门，向下游黑灰产出售访问权。最终这些电视盒子被用于安装住宅代理服务、流量转发、分发其他应用或恶意应用、实施广告欺诈等。谷歌高度确信视壮科技就是后门运营方，该公司为大量品牌提供代工生产。目前谷歌已经切断与该公司的合作，禁止视壮科技制造和销售经过认证的安卓设备。查看全文：https://ourl.co/127950
谷歌威胁情报团队日前发布报告宣布已经与安全厂商及执法机构合作，破坏名为 XCPE 的超大规模僵尸网络。该僵尸网络通过预装在安卓电视盒子固件中的后门程序，将超过 130 万台电视盒子远程控制，设备分布在全球多个国家和地区。
谷歌高度确信设备制造商深圳视壮科技 (Videostrong) 为牟利而开发、部署和运行该后门和僵尸网络，谷歌称视壮科技将受感染设备的访问权限出售给其他参与者，用于广告欺诈、住宅代理、流量转发和用于分发更多恶意程序。
注：该公司也为其他公司或品牌提供代工服务，因此可能有很多设备并非 Videostrong 品牌，但也同样内置后门程序并参与僵尸网络，这些品牌是否知晓此事还不清楚。
分析发现 XCPE 的主要组件在部分设备中名为 x.cpe，在部分构建中也可能使用 com.oemservice 这个名称，该组件被预装在固件分区以安卓系统级权限自动运行。
设备启动后该组件会检查相关文件并静默安装后门程序，随后连接远程控制服务器 (C2) 获取配置指令。谷歌观察到的行为包括但不限于：静默安装应用程序、执行命令、截取屏幕内容、收集设备信息、探测用户所在网络。
后门程序还可以加载其他组织或犯罪团伙提供的恶意模块，其中部分恶意模块会将设备变成住宅代理出口，第三方流量经过用户家宽进行转发，通过家庭网络的公网地址访问外部服务。其他模块则在后台实施广告欺诈或继续下载更多程序。
受影响的设备大多数都是视壮科技生产或代工生产的安卓电视盒子，但谷歌也发现部分远程医疗设备、卡拉 OK 设备和数字标牌等安卓设备也受到感染。
谷歌指控视壮科技参与运营，宣布切断与该公司的认证合作：
谷歌在多个品牌和型号的设备中发现内置恶意软件且相关行为已经持续多年，相关公司也为这个恶意网络配备专门的控制基础设施。基于这些证据，谷歌认为事件涉及视壮科技持续运营而非单一开发者的偶发行为。
研究还发现视壮科技使用混淆技术利用谷歌认证测试中的流程漏洞，在设备首次启动后加载恶意代码。部分设备此前属于经过谷歌认证、预装 Google 应用的产品。
作为处置措施谷歌宣布终止与视壮科技的任何合作，禁止该公司及其关联实体制造和销售经过认证的 Android 设备，也禁止向其他认证厂商提供软件。谷歌还准备改进安卓电视设备的固件完整性检查以应对类似问题。
谷歌已经通过法律行动破坏用于控制该僵尸网络和分发恶意模块的域名和服务器，也针对多个通过该后门传播的恶意软件家族的控制域名采取行动。这些行动牵涉到超过 1000 万台设备，也包含视壮科技这 130 万台安卓电视盒子。
然而由于后门程序预装在电视盒子的固件里，谷歌分析显示即便部分组件从用户应用目录卸载，也可能在设备重启后重新自动安装，因此用户对此毫无办法。
谷歌建议如果用户怀疑自己的设备有问题，应尽快断网并核对制造商和型号，联系销售商或设备品牌方确认是否有可信的固件修复方案。若在可疑设备上登录过账号，则应该修改这些账号的密码。
