← 返回事件分析列表
分析日期：2026-11-05分類：供應鏈安全原始來源：Google GTIG標籤：Android TVXCPEVideostrong韌體後門住宅代理BadBox

1. 事件概述

Google 威脅情報小組（GTIG）於 2026 年 11 月 2 日公布調查報告：一個名為 XCPE 的後門被預載在超過 130 萬台機上盒的韌體裡，裝置一出廠就已被納入殭屍網路。受影響裝置以機上盒為大宗，但不只機上盒：GTIG 也在遠距醫療設備、卡拉 OK 機與數位看板上發現同一後門。GTIG 以「高度信心」研判，後門與殭屍網路是深圳的裝置製造商 Videostrong Technology Co. 為牟利而蓄意開發、部署與營運的——不是員工個人行為，也不是開發疏失。

Videostrong 是 Android 裝置的 OEM／ODM 廠商，自有品牌 MECOOL，也替其他品牌代工。依 GTIG 的調查，Videostrong 把存取權賣給犯罪合作方（affiliates），由這些合作方在裝置上載入各自的變現模組：把電視盒變成住宅代理出口節點、進行廣告詐欺、或再植入更多惡意程式。

2026 年 10 月下旬，Google 與日本警察廳、Lumen、HUMAN Security、Plume、Synthient、TrendAI 等夥伴採取法律行動，拿下 XCPE 的控制伺服器與網域，並一併處置經此後門散布的十餘個惡意程式家族的 C2 網域。Google 同時終止與 Videostrong 的合作、撤銷其預載 Google 應用程式的授權，並禁止 Videostrong 及其未來子公司與關係企業製造經認證的 Android 裝置、或向其他認證廠商供應軟體。

必須先講清楚的一點：控制伺服器被拿下，不等於裝置被清乾淨。後門仍留在這 130 多萬台裝置的韌體裡，使用者無法自行移除（見第 3.1 節）。這起事件的特殊之處在於攻擊者不是利用漏洞入侵裝置，而是裝置的製造者本身——受害者買到的是一台出廠前就被動過手腳的產品。

2. 時間線

  • 2020 年初起：MECOOL 品牌機上盒在消費市場流通（Synthient 報告）。
  • 多年間：GTIG 發現惡意軟體出現在許多不同品牌與型號的裝置上，背後有專用基礎設施支撐，設定持續演進以規避偵測。
  • 2024 年底起：惡意軟體架構由簡單的單段投放器演進為模組化三段式架構；GTIG 研判此變化可能與先前 Google 對 BadBox 的執法行動有關。
  • 2025 年 3 月：BadBox 2.0 殭屍網路（逾 1,000 萬台裝置）被 Google、HUMAN、TrendAI 等瓦解——XCPE 與其屬同一惡意生態系，Moyu、Bird 等模組先前即為 BadBox 的組成部分。
  • 2025 年底：Synthient 購入 MECOOL KM9PRO Max 實機研究，在未安裝任何 App 的新機上發現預載後門，展開追查。
  • 2026 年 6 月 3 日至 10 月 1 日：TrendAI 遙測期間，記錄到超過 380 萬個不同的家庭與行動 IP 位址連入此一營運。
  • 2026 年 8 月起：操作者經 MQTT 通道大量散布偽裝成 Android 系統 App 的新型投放器，並同步在殭屍網路中大量卸載舊載入器 com.abc.nexus。
  • 2026 年 10 月下旬：聯盟以法律行動拿下 XCPE 與十餘個合作方惡意程式家族的 C2 網域與伺服器。
  • 2026 年 11 月 2 日：GTIG 公布報告；Google 宣布與 Videostrong 切斷合作並封殺其認證資格。截至報導時，Videostrong 未回應 The Register 的詢問，其官網仍標榜「Google Certified」機上盒產品。

3. 技術分析

3.1 後門本體：韌體預載與無法移除的持久化

後門主體在不同版本中名為 x.cpe 或 com.oemservice，預載於韌體的系統分割區，以 android.uid.system 系統級權限運行。它本質上是一個引導程式：開機後檢查 /oem/ 目錄中的對應套件並安裝到 /data/app/。使用者即使將它解除安裝，下次重開機時也會從 /oem/ 分割區自動裝回，因此一般使用者無法移除。

為了能靜默地下載並執行新程式碼，後門先竄改使用者的同意設定，再把 Google Play Protect 的應用程式驗證關閉（將全域設定 package_verifier_user_consent 設為 -1）。x.cpe 還匯出兩個 ContentProvider，存放執行參數、裝置識別資訊與代理設定，供同廠生態系的其他 App（例如 Videostrong 自家的 YokaTV Player）讀取 C2 下發的設定。

3.2 兩段式 C2 與遠端操作能力

通訊採兩段式：先以 HTTP POST 向 *.anyevonline[.]com 取得初始設定（MECOOL 裝置預設為 mcstb.anyevonline.com:8000），傳送的 JSON 以 AES 加密，內容包含序號、MAC 位址、型號與韌體版本等硬體遙測資料；取得 MQTT broker 資訊後，再建立常駐的 MQTT 連線（樣本皆使用單一 broker 主機 mqtt.szbboys[.]com，解析至 219.134.163.210 與 219.134.163.211，監聽非標準連接埠 3885–3887）接收即時指令。

GTIG 觀察到的指令能力包括：靜默安裝應用程式、任意 shell 指令執行、螢幕截圖、注入按鍵、網路偵察（內嵌 traceroute 工具），以及回傳裝置資料。GTIG 明確記錄到操作者實際執行過敏感操作：擷取即時螢幕畫面、注入按鍵、外洩帳號資訊、裝置資訊、已安裝程式清單與系統紀錄，並在裝置上建立反向 shell。

3.3 載入器、規避分析與變現模組

2024 年底起，x.cpe 主要負責 C2 通訊，模組執行交給外掛載入器 com.abc.nexus。該載入器內含反分析工具 libseccomp_guard.so，以系統呼叫過濾阻撓沙箱與安全工具的觀測。2026 年 8 月起出現的新型投放器偽裝成系統 App（如 com.android.system.ntp、com.android.sso.auth.handler），內含 libexploit.so，可將本機 adbd 服務以 root 權限重啟，再把自身寫入 /system/priv-app/ 取得系統層級的安裝與重開機權限，並以時間戳竄改（timestomping）混入系統套件之中。

變現模組由合作方開發，經此後門載入，主要分三類：

  • 住宅代理／頻寬共享：Linkfog（北京点心云 Dianxinyun 營運）、AppSalt／Honeygain（Oxylabs 旗下；其 SDK 在未顯示任何同意畫面的情況下自行呼叫 optIn()）、NetNut／Popanet、Traffmonetizer、GaGaNode／IPCola、BWM／IPWeb、Jaguar 等。單一裝置可同時被裝上多達三種住宅代理 SDK。
  • 廣告詐欺：HiddenView（以隱藏 WebView 模擬瀏覽與點擊）、CBOXTV／Fission（在背景直接呼叫廣告追蹤端點偽造曝光）。
  • 後門模組：Moyu、Spirit、Bird 等可再載入更多模組的動態載入型後門；其中 Moyu 與 Bird 先前即屬 BadBox 生態系。

模組多託管於操作者自有的 GitHub 發布頁面，經 MQTT 指令下發下載。模組設定中甚至包含 CPU、記憶體與網路流量的上限值，讓裝置在「不要太吵」的前提下持續被榨取價值。

3.4 如何通過 Google 的認證檢測

Google 要求 OEM 通過一整套相容性與安全性測試，才能出貨預載 Google 應用的裝置。依 GTIG 的說法，Videostrong 以混淆手法利用了測試流程的缺口，讓惡意程式碼在裝置首次開機之後才載入，藉此通過出貨前檢測。Google 已修改審查流程，並強化對認證 Android TV 裝置的韌體完整性檢查。

4. 歸因與證據限制

歸因部分有兩個獨立來源。GTIG 以「高度信心」研判 Videostrong 蓄意開發、部署並營運此後門牟利，並明確排除「單一內部人員所為」或「開發疏失」的解釋。資安公司 Synthient 的獨立調查得出了相同結論，其證據鏈包括：惡意伺服器 file.anyevonline[.]com 上一個公開可存取的目錄中，有一份 Videostrong 研發總監簽署的文件；Videostrong 的 videostrong[.]cn 網域與 C2 主機 mqtt.anyevonline[.]com 解析至相同 IP；以及憑證簽署資訊與其自有串流軟體 YokaTV 之間的關聯。Synthient 的調查起點，是購入 MECOOL KM9PRO Max 實機後在新機上直接發現預載後門。

但證據限制同樣要講清楚：

  • 「蓄意」是 GTIG 與 Synthient 的調查研判，證據強度高、有獨立佐證，但截至 2026 年 11 月 2 日的報導，尚無法院判決，Videostrong 也未公開回應（未回覆 The Register 詢問）。
  • 各家的裝置數量口徑不同，不能互換引用：Google 說的是「超過 130 萬台」被納入殭屍網路的機上盒；Synthient 估計至少 130 萬台、其中約 50 萬台每日上線；TrendAI 的遙測數字是 1,472,554 台、涵蓋 206 個型號——這是不同量測方法下的不同數字。
  • 「切斷至少 1,000 萬台額外裝置的存取」是 Google 對未來效果的評估（合作方模組另有其他散布管道，其 C2 被拿下後預期波及的裝置數），不是已清除的裝置數。
  • 伺服器被拿下後，130 萬台裝置上的後門依然存在。目前沒有任何來源證實恢復原廠設定可以清除它；Synthient 對受影響裝置的建議是直接停用汰換。
  • 臺灣的規模已有遙測數字：TrendAI 在 2026 年 6 月 3 日至 10 月 1 日的遙測中，觀測到臺灣有 88,350 台受影響裝置，在各國中列第五（前四名為馬來西亞 300,390 台、巴西 150,080 台、伊拉克 124,298 台、墨西哥 94,588 台；涵蓋 206 個型號、170 多個國家）。TrendAI 說明其監測是間歇式的，這些是觀測到的感染數而非完整清查，整體 1,472,554 台也屬下限估計；此為 TrendAI 的遙測口徑，與 Google「超過 130 萬台」的口徑不同，不要混用。Synthient 自己的觀測則集中在馬來西亞、墨西哥與巴西。

5. 防守建議

對一般使用者：

  • 購買聯網裝置（含電視盒）時，選擇有信譽的品牌與經認證的產品，可對照 Google 公布的 Android TV 合作夥伴名單；對來路不明、無品牌或代工來源不清的低價機上盒保持警覺。
  • 對照 Synthient 公布的受影響型號清單（182 個型號名稱）檢查家中的機上盒；若裝置屬 MECOOL、YokaTV 通路或名列清單，由於後門無法由使用者移除且恢復原廠設定未經證實有效，最穩妥的處置是斷網停用並汰換。
  • 確認 Google Play Protect 保持開啟；對「分享閒置頻寬換取報酬」類型的 App 保持警覺，這正是非法住宅代理網路招募節點的主要管道。
  • 家庭網路可將 IoT 與電視盒類裝置放在獨立的網路區段，限制其存取家中其他裝置，降低裝置被當作跳板時的橫向風險。

對通路與企業：

  • 零售商與電商平台應要求 ODM 提供獨立的資安稽核，並迅速下架涉及供應鏈濫用的製造商產品（此為 GTIG 報告的呼籲方向）。
  • 網路防守方可參考 GTIG 與 Synthient 報告附的入侵指標（IoC），封鎖 anyevonline[.]com、szbboys[.]com 等相關網域，並檢視內網是否有裝置對 MQTT 非標準連接埠（3885–3887）的異常連線。

6. 原始來源

← 返回事件分析列表