逾130萬台機上盒遭XCPE納入殭屍網絡 Google封鎖控制伺服器並切斷Videostrong認證

Google封鎖了將逾130萬台機上盒納入殭屍網絡的惡意程式XCPE控制基礎設施，並切斷與製造商Videostrong的合作關係。Google限制Videostrong及其子公司、關係企業製造或銷售通過認證的Android裝置，也禁止它們向其他認證廠商供應軟體。

Google在2日發布的威脅分析中表示，已對XCPE的控制網域與伺服器採取法律行動。不過，這不代表個別裝置上的惡意韌體已被移除。

Google以高度信心評估，Videostrong為了獲利而開發、散布並營運後門。這是Google的評估，與法院的確定判決不同。

後門在裝置售予消費者前就已植入韌體。Google表示，惡意程式經過設計，可避開安全檢查，並在裝置首次開機後載入功能。

感染案例主要出現在Android TV機上盒。Google也在遠距醫療設備、卡拉OK設備和數位看板等其他Android裝置上發現惡意程式，並指出並非所有Android TV產品都遭到感染。

TrendAI在技術分析中表示，2026年6月3日至10月1日，該公司在170多個國家觀測到147萬2554台感染裝置，涵蓋206種裝置型號。Google所稱的逾130萬台與TrendAI的觀測數據，調查範圍和統計標準不同。

TrendAI表示，觀測到的裝置中，約133萬台被列為住宅代理和廣告詐欺模組的部署對象。該公司也說明，由於資料是間歇性收集，觀測數據只是實際感染規模的下限。

TrendAI在同一期間記錄到384萬9226個住宅代理出口IP位址。每日提供的IP位址平均為18萬2025個，最高為36萬6562個。IP位址數量與感染裝置數或受害者人數是不同指標。

惡意程式「x.cpe」透過MQTT接收遠端伺服器指令，可安裝或移除App、變更裝置設定。這讓他人能在使用者不知情的情況下遠端控制裝置。

Google表示，受感染裝置被用於廣告詐欺和住宅代理。住宅代理會利用家庭網路連線轉送第三方通訊，因此即使機上盒看似正常運作，其網路連線仍可能被用於其他通訊。

Google也封鎖了另一個與XCPE無關的合作惡意程式家族之控制網域，並評估此舉將切斷對至少1000萬台裝置的存取。這個數字不是XCPE殭屍網絡中機上盒數量的追加統計。

封鎖控制網絡不會自動移除裝置內的後門。TrendAI說明，後門包含在由製造商簽章安裝的系統App中，使用者無法自行移除。

TrendAI分析指出，清理裝置可能需要製造商採取行動、平台提供防護，或更換裝置。封鎖控制基礎設施與處理個別裝置韌體，是不同階段的工作。

Google表示，日本警察廳與多家資安業者參與了分析和封鎖工作。Google也說，已改善確認通過認證的Android TV裝置韌體完整性的審查流程。