Google 威脅情報團隊於十一月二日公布，與業界夥伴瓦解 XCPE 後門殭屍網絡，評估有高度信心指 Android OEM／ODM 廠商 Videostrong 為牟利而刻意開發、部署並營運該後門，已納入逾一百三十萬部機頂盒；同時打擊逾十二個關聯惡意模組的指揮伺服器，估計可切斷至少約一千萬部其他受感染裝置的遠端控制；Google 已與 Videostrong 斷絕合作並禁止其及未來關聯方再生產預載 Google 應用的認證 Android 裝置。來源真實性已驗證。

Google／官方：瓦解 XCPE 殭屍網絡——逾一百三十萬機頂盒遭 OEM Videostrong 預裝後門；關聯 C2 斷開逾千萬裝置；禁售認證 Android

Google Cloud 威脅情報（Google Threat Intelligence）於二零二六年十一月二日發布報告，指 Google 與業界夥伴已瓦解 XCPE 後門，該後門把逾一百三十萬部機頂盒納入殭屍網絡。團隊以「高度信心」評估，後門與殭屍網絡由 Android 原始設備製造商（OEM）暨原始設計製造商（ODM）Videostrong Technology Co. 為牟取金錢利益而刻意開發、部署並營運；Videostrong 把後門存取權售予犯罪聯盟，並在受感染裝置上載入聯盟的惡意模組，進行廣告欺詐、把裝置變成住宅代理（residential proxy）出口節點，以及安裝更多惡意軟件。作為行動一部分，Google 亦打擊逾十二個經此後門載入之惡意家族所使用的指揮與控制（C2）網域，估計可切斷至少約一千萬部經其他途徑受感染裝置的連線（當中包括零售機頂盒、卡拉 OK 機與遠距醫療硬件，且未必全屬 Android）。來源真實性已驗證。本文重點包括：OEM 韌體預裝後門如何繞過認證測試、三階段模組化變現架構，以及對香港企業採購與雲端邊界的實務含義。

一、核心事件：不是「中招漏洞」，而是產線預裝後門

高信心歸咎 OEM，並祭出認證禁售

與多數靠漏洞或釣魚擴散的殭屍網絡不同，XCPE 被寫進裝置韌體。Google 指在多個型號與品牌、多年間發現惡意軟件直接內建，並有專用基建與持續演變的設定以逃避偵測、管理聯盟。團隊認為這並非單一「內部害群之馬」或開發疏忽。因此 Google 已切斷與 Videostrong 的關係，撤銷其生產預載 Google 應用與服務之 Android TV 裝置授權，並禁止該公司及其未來附屬或關聯方再製造認證 Android 裝置，或向其他認證供應商提供軟件。

Google 要求 OEM 通過兼容與保安測試，但指 Videostrong 使用混淆手法，利用測試空隙，在裝置首次開機之後才載入惡意程式碼；Google 已為此調整認證與韌體完整性審查流程。合作打擊方包括日本警察廳，以及 Lumen、HUMAN Security、Plume、Synthient 與 TrendAI 等。

變現邏輯：把「售後裝置」變成犯罪分銷渠道

報告指出，x.cpe 網絡為持續牟利而建：透過後門把裝置租給惡意模組營運者，在售後長期抽成。聯盟模組常見用途包括住宅代理／頻寬分享、廣告欺詐，以及可再載入更多變現模組的次級後門。Google 強調，即使點狀打擊有效，後門營運者、廣告欺詐集團與住宅代理供應鏈仍會快速轉移；要持久削弱，需要硬件供應鏈、代理產業與平台持續問責。

二、技術細節：系統權限後門、MQTT 指揮與多租戶模組

三階段架構：主後門 → 載入引擎 → 變現模組

自至少二零二四年底起，Videostrong 將預裝惡意軟件由單階段投放，演化成偏韌性、可多租戶變現的三階段架構：

一、主後門：以系統級權限（android.uid.system）運行，部分組建稱為 x.cpe 或 com.oemservice，預載於韌體分割區；若使用者卸載，重開機後會從 /oem/ 分割區自動重裝，維持持久系統存取。主要職責是與 C2 通訊，並協調載入與執行引擎。

二、載入與執行引擎：為逃避掃描，主後門多把模組執行外放到 com.abc.nexus 等外部載入器，內含反分析與原生工具；近期更見改以較針對性的投放器，一次只載入單一變現模組。

三、變現模組：由第三方聯盟開發，可為原生 ELF 守護行程、嵌進 DEX 的 SDK，或由暫存基建下載的次級 APK。報告點名住宅代理相關模組（如 Linkfog、AppSalt／Honeygain、NetNut／Popanet、Traffmonetizer、GaGaNode／IPCola、EarnFM 等）以及廣告欺詐與次級後門家族（如 HiddenView、Moyu、Bird、Spirit、Fission 等）。

C2：HTTP 引導後轉 MQTT；可關 Play Protect、遠端 Shell 與畫面擷取

惡意軟件先以 HTTP POST 取回設定、地理與 STUN 參數，再建立持久 MQTT 連線接收指令。觀測到的能力包括：靜默安裝遠端 APK、關閉 Google Play Protect 套件驗證、以系統權限執行任意 shell、下載執行腳本、注入按鍵與擷取畫面，以及網絡偵察。分析指多數互動屬模組安裝／卸載／設定，但亦見操作者擷取螢幕、外傳帳號與裝置資訊、建立反向 shell 等敏感動作。

韌體預裝令一般使用者難以卸載；新變種更見偽裝成系統套件、透過 ADB 提權把自己寫入 /system/priv-app/ 並授予安裝套件等權限。模組與設定亦大量經營運者控制的 GitHub Releases 託管分發。

三、日常應用場景

1. 開發者與技術團隊

若你維護 Android／IoT 韌體、機頂盒、數碼指示牌、醫療或卡拉 OK 類嵌入式產品，應把「ODM 是否可獨立證明韌體供應鏈」寫進採購與验收：獨立保安審計、簽署組建可重現、開機後完整性量測，以及禁止未知系統級套件自安裝。對外連線方面，企業出口防火牆與 DNS 應監控異常 MQTT／非標準埠、大量住宅代理特徵流量，以及裝置突然出現未知系統套件。CI 與工件倉庫亦應掃描誤嵌的 OEM 服務套件與可疑 ContentProvider。

2. 企業與隱私敏感行業

金融、醫療、零售總部與共享工作空間若以「便宜 Android TV 盒」做數碼指示牌、會議室投屏或等候區娛樂，等同把系統級後門與住宅代理節點接進企業或訪客網絡。應改採認證合作夥伴清單內的裝置、關閉不必要的外連、以網絡隔離（VLAN／零信任）限制 IoT，並把「住宅代理／頻寬分享」類應用列為高風險。雲端與 API 金鑰被盜用（LLMJacking）是另一條金鑰衛生線；本事件則提醒硬件邊界同樣會成為犯罪分銷渠道。

3. 一般用戶

只向信譽製造商與正規銷售渠道購買機頂盒與串流裝置；啟用 Google Play Protect，對承諾「分享閒置頻寬換現金」的應用極度審慎。若懷疑裝置異常發熱、流量暴增或自動安裝不明應用，應斷網並尋求原廠乾淨韌體或更換裝置——報告指僅卸載應用往往不夠，因後門可自 /oem/ 重裝。

4. 香港與亞洲市場視角

香港中小企、物管、餐飲與診所常用白牌或網購 Android 盒子做顯示與數碼菜單；跨境電商渠道亦常見多品牌貼牌。此事件把風險從「使用者中毒」上移到「產線與 ODM 合約」。本地企業對外判開發、私有雲與邊緣裝置專案，應在合約要求韌體 SBOM、安全啟動與獨立抽測，並把 IoT 出口流量納入日常偵測——這與金管局推動的供應商溝通、資產盤點精神一致：邊界裝置也是風險登記冊的一部分。

四、專業評價與潛在考量

優勢

• 官方威脅情報稿硬數字清晰：逾一百三十萬部 XCPE 納管裝置、關聯 C2 打擊估計覆蓋至少約一千萬部其他受感染裝置，並有跨國執法與多家保安公司協同。
• 「高度信心」指向 OEM 刻意營運，並配套認證禁售與測試流程改進，屬供應鏈層級後果，而非只刪 C2。
• 技術描述涵蓋 MQTT、Play Protect 繞過、/oem/ 重裝與住宅代理聯盟生態，方便資安與採購團隊對照自有環境。

需要留意的地方

• 受影響具體消費品牌／型號清單未在公開稿完整羅列；企業仍須以資產盤點與流量特徵自查，不能假設「沒看到品牌名就安全」。
• 報告亦提醒打擊是點狀的：聯盟與代理市場會轉移載入器；一次瓦解不代表生態消失。
• 與同日 Mandiant「LLMJacking」雲端模型濫用報告主題不同：前者是硬件／OEM 供應鏈，後者是雲端身分與 API 金鑰變現——兩者都指向「變現速度極快」，但修復清單不宜混為一談。

結語

當殭屍網絡不再靠釣魚連結，而是在出廠韌體裡預留系統級後門，採購與資安的第一問就變成：誰簽了這條 ODM 產線、開機後誰還能靜默裝模組。Google 以認證禁售回應 Videostrong，等於把「供應鏈誠信」寫進 Android 生態的罰則。若你的團隊正在香港為企業或物聯場景做雲端遷移、網絡分段與裝置／金鑰衛生加固，可參考 YSK Limited 的雲端遷移與網絡安全服務：https://ysk.hk/services/cloud-security

參考來源

• Google Cloud Threat Intelligence〈Shutting the Door on the XCPE Botnet〉：https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet/
• BleepingComputer 報道（業界轉述與數字交叉核對）：https://www.bleepingcomputer.com/news/security/google-disrupts-million-device-xcpe-android-malware-botnet-bans-tv-box-maker/