2026年11月2日，谷歌威胁情报团队（GTIG）发布通报，谷歌与行业伙伴已瓦解一个名为XCPE的后门僵尸网络。这个后门被预装在机顶盒固件里，吸纳超过130万台设备，谷歌以“高度确信”评估，它是由深圳厂商Videostrong Technology有意开发、部署并运营牟利的，谷歌已与该厂商断绝关系，并禁止其生产预装谷歌应用的设备。对家里摆着安卓电视盒的用户来说，这次事件的关键不在于某次黑客入侵，而在于后门出厂时就已经在设备里。
后门藏在哪里，怎么赚钱
XCPE的核心是一个名为x.cpe的后门程序，在部分版本里以com.oemservice的名义运行，拥有系统级权限，被预装在固件分区。用户即使把它卸载，设备重启后它也会从oem分区自动重装，始终保持持久访问。谷歌说，至少从2024年底起，Videostrong就把预装恶意软件从简单的单阶段下载器，演进成模块化三阶段架构，配置不断变化以逃避检测、并管理它的分销伙伴。赚钱方式也很直接：Videostrong把后门访问权卖给犯罪分销伙伴，对方再往设备里加载自己的恶意模块，从事广告欺诈、把设备悄悄编入住宅代理网络，或者继续加载更多恶意软件。受影响的主要是安卓电视机顶盒，通报还提到远程医疗设备、卡拉OK机和数字标牌等安卓设备。谷歌同时采取法律行动，切断了这些分销模块的命令与控制域名，并评估此举会切断至少另外1000万台受感染设备的访问。
断网之后，设备就安全了吗
这次行动切断的是控制链路，不是设备里的固件本身。谷歌通报没有承诺已清除已售设备里的后门，也没有提到召回安排；由于后门有系统权限且会在重启后重装，普通用户自行卸载并不能解决问题。已经买了相关设备的用户，眼下能做的事很有限：先确认设备品牌与购买渠道是否与通报描述的情形相符，留意厂商或销售方后续是否给出固件更新或换货方案，必要时考虑停用并更换设备。对安卓生态来说，更值得关注的是认证环节的教训：据媒体报道，这批设备里有通过谷歌认证的产品，Videostrong在设备首次启动后才加载恶意代码，绕过了测试。谷歌已表示收紧了审核流程，但已售出的130多万台设备如何处理，通报没有给出答案，这也是接下来最需要跟进的一点。
