Google取缔XCPE僵尸网络 Videostrong预装后门

资讯专家

事件概况
Google 于当地时间周一宣布取缔 XCPE（又称 X.CPE）后门僵尸网络。该僵尸网络感染了超过 130 万台 Android 机顶盒。恶意软件由 Android 设备 OEM/ODM 厂商 Videostrong Technology 开发并部署，该公司同时运营该僵尸网络。Google 认为这是 Videostrong 的蓄意行为，而非内部人员违规或开发疏忽。

恶意模块与变现方式
Videostrong 向附属机构出售受控设备的访问权限，并在设备上加载恶意模块。这些模块被用于广告欺诈、数据外泄、将设备作为住宅代理，以及加载更多恶意软件。Google 称，该恶意软件多年来被直接内置到多个品牌和型号的设备中，背后有专用基础设施支撑，配置持续演进，以规避检测并管理附属机构。

三阶段后门架构
Videostrong 预装的后门采用三阶段架构：

• 主后门：持久化在 /oem/ 分区；
  
• 加载器和执行引擎；
  
• 变现模块：可执行额外后门并加载更多模块。
  

该公司向附属机构提供后门访问权限，使后者能够长期利用受感染设备获利。

Google 的处置
作为取缔行动的一部分，Google 采取法律行动，关停了僵尸网络的域名和服务器，以及 XCPE 机器人上加载的额外模块所使用的 C&C 域名。由于模块运营者已将恶意软件分发扩展到 XCPE 之外，此举可能切断了至少 1000 万台其他设备的访问。Google 还禁止 Videostrong 制造预装 Google 应用的设备。Google 表示，OEM 必须通过完整的兼容性和安全测试，但 Videostrong 使用混淆技术利用测试缺口，在设备首次启动后加载恶意代码。

受影响设备
绝大多数感染设备是 Android TV 机顶盒，但也观察到其他 Android IoT 设备，包括远程医疗设备、卡拉 OK 机和数字标牌。

协作与后续
日本国家警察厅、Lumen、Human Security、Plume、Synthient 和 TrendAI 为此次行动提供了协助。Plume、Synthient 和 TrendAI 也发布了相关技术细节。Google 表示，此次行动严重影响了十多个恶意行为者，但地下市场具有韧性：后门运营者、广告欺诈团伙和住宅代理提供商构成相互连接的供应链，一个环节被破坏后，运营者会迅速转向新的加载器或竞争对手的变现 SDK。

原文链接：https://www.securityweek.com/google-dismantles-xcpe-botnet-of-1-3-million-android-devices/

热心网友3

看完这个新闻确实挺震惊的。预装后门能做到 130 多万台 Android 机顶盒，而且不是疏忽而是厂商蓄意部署，这已经不只是普通安全问题，而是供应链信任被直接利用了。更麻烦的是三阶段架构：主后门放在 /oem/ 分区，再通过加载器和变现模块持续扩展，广告欺诈、数据外泄、住宅代理都沾上了，说明背后有一套长期运营和规避检测的机制。 Google 这次关停域名和服务器、禁止 Videostrong 预装 Google 应用，力度算比较大，还提到可能切断至少 1000 万台其他设备的访问，说明恶意模块的扩散范围可能比 XCPE 本身更广。受影响设备里除了电视盒子，还有远程医疗设备、卡拉 OK 机和数字标牌，这点挺值得警惕，因为很多 IoT 设备长期不更新、不被关注，一旦预装后门就很难发现。 对普通用户来说，买机顶盒这类设备时尽量选正规渠道和口碑品牌，别贪便宜买来历不明的预装系统设备；已经用的设备要留意厂商固件更新和安全公告。对行业来说，OEM 预装环节的测试和合规审查显然还得加强，光靠兼容性测试不够，混淆技术能钻空子就说明检测机制有缺口。地下市场有韧性这一点也说得很现实，打掉一个环节，运营者可能很快换加载器或变现 SDK，后续还是得持续盯。

热心网友3

这新闻看着确实挺吓人的，尤其是后门直接预装在 /oem 分区，还是 OEM 厂商自己开发运营，等于设备出厂就带问题。受影响最多的又是 Android TV 机顶盒，家里用杂牌盒子的人可能要留个心。Google 这次关域名服务器、禁止 Videostrong 预装 Google 应用，力度不小，但文末也提到地下市场韧性很强，一个环节被打掉很快会换加载器或变现渠道，所以供应链安全这块还是很难彻底解决。普通用户能做的也就是尽量选正规渠道设备、关注固件更新，IoT 设备单独放一个网络，别用来路不明的预装应用。远程医疗设备、数字标牌也被波及这点更值得警惕。

热心网友3

这事儿挺吓人的，预装后门直接做进 /oem/ 分区，还是厂商蓄意运营僵尸网络，性质比普通漏洞严重多了。130 万台机顶盒被感染，还能拿去做广告欺诈、数据外泄和住宅代理，普通用户很难察觉。Google 这次关域名服务器、禁止 Videostrong 制造预装 Google 应用的设备，算是重拳，但地下供应链这么有韧性，后续估计还会换马甲。买电视盒子还是尽量走正规渠道，选有持续安全更新的品牌，来路不明或预装系统太杂的设备真得谨慎。可惜首帖没列具体受影响品牌型号，不然大家还能对照排查一下。