谷歌威胁情报团队联合多家安全机构与执法部门，成功瓦解代号 XCPE、也就是常说 x.cpe 的大型僵尸网络，这一僵尸网络以安卓电视盒子为主，受感染设备超过 130 万台，涉事厂商为曾经拿到 Android TV 认证的视壮科技，它直接在出厂固件内置后门，并且把设备远程访问权限对外出售给黑产团伙，黑产拿这些盒子做广告刷量、搭建住宅代理，还能远程截屏、记录按键、继续下放更多恶意程序，盒子日常播放影视看不出异常，普通用户很难察觉到设备已经沦为肉鸡，这次行动关停全套控制域名与服务器，连带切断了十余个依附这套后门的恶意家族，还能间接保护另外至少一千万台其他渠道感染的设备。这次僵尸网络能做大，关键点就是恶意代码出厂预埋，并不是用户点链接、装软件中招，厂商在送检的时候做规避，等用户买回家联网激活之后后门才启动，拿到系统最高权限，还会主动关闭谷歌自带的安全防护；后门写在固件只读分区，普通卸载、恢复出厂都清不掉，分布覆盖一百七十多个国家，东南亚、拉美感染数量偏高。整套处置流程，先是安全团队长期跟踪流量、反向解析控制服务器，锁定厂商与恶意样本，之后通过法律渠道申请查封域名、C2 控制服务器，同步取消涉事厂商的 Android TV 认证资格，禁止它继续生产带谷歌服务的认证设备，谷歌还更新 Play Protect 规则拦截相关恶意模块，同步对外发布预警，提醒手里对应型号盒子的用户风险。整体来看，这次打击切断了黑产的指挥链路，僵尸网络暂时失去统一调度能力，但硬件底层后门还留在已经售出的电视盒子里面，没法远程抹除，买到这批设备的用户依旧存在隐私泄露风险，只能尽量隔离网络，不要在这台盒子登录账号、输入密码。
XCPE 僵尸网络基础信息清单
- 僵尸网络代号：XCPE，包名标识 x.cpe/com.oemservice
- 受感染主力设备：安卓电视盒子，MECOOL 多个型号占比较高
- 感染规模：确认超过 130 万台，覆盖 206 款设备型号、170 个以上国家
- 幕后涉事方：深圳市视壮科技（Videostrong），OEM / ODM 代工模式
- 联合参与方：日本警察厅、Lumen、HUMAN Security、Plume、Synthient、TrendAI
- 主要黑产用途
- 大规模广告欺诈，静默伪造广告点击与曝光
- 住宅代理节点，借用家庭宽带对外转发流量
- 远程截屏、按键记录、窃取账号、下发更多恶意软件
- 核心特征：固件内置，拥有系统级权限，恢复出厂无法清除
恶意代码运行流程
- 出厂预埋：后门代码写进固件只读分区，送检时隐藏恶意行为规避检测
- 首次联网激活：用户通电联网，存根程序启动，上报设备序列号、MAC、型号
- 关闭防护：主动禁用 Google Play Protect，阻止安全检测
- 加载加载器：拉取 com.abc.nexus 加载程序，等待控制服务器下发任务
- 执行黑产模块：按需启动代理、广告欺诈、远程控制等功能
本次打击采取的措施
- ✅：通过法律手段查封全部 C2 控制服务器、相关域名
- ✅：关停依附后门的十多个恶意软件家族控制通道
- ✅：撤销视壮科技 Android TV 合作伙伴认证
- ✅：永久禁止该企业以及关联主体生产预装谷歌服务的认证安卓设备
- ✅：更新谷歌安全规则，Play Protect 拦截对应恶意载荷
- ✅：对外公开技术报告，向全球用户发布风险预警
风险与用户应对方案
| 用户场景 | 风险说明 | 可行操作 |
|---|---|---|
| 持有 MECOOL、视壮代工电视盒子 | 底层后门还在，只是暂时收不到指令 | 如果不重要，尽量断网停用 |
| 需要继续使用该盒子看视频 | 存在账号、密码泄露隐患 | 不要登录支付、社交账号 |
| 想靠恢复出厂清除后门 | 无法根除，重启后后门会重新生成 | 没有简单办法彻底清理固件后门 |
| 准备新买安卓电视盒子 | 存在其他预埋后门风险 | 优先选择一线大厂，避开低价无名代工款 |
本次行动局限
- 只是切断指挥通道，不能远程擦除已经固化在固件中的后门
- 如果黑产后续更换全新域名，依然有可能重新接管这批设备
- 除电视盒子之外，同款后门还出现在远程医疗设备、点歌机、数字标牌上
【相关 FAQ】
问题 1：谷歌联合多方瓦解的 130 万台电视盒子僵尸网络叫什么名字？
回答 1：谷歌联合多方瓦解的这个 130 万台电视盒子僵尸网络代号是 XCPE，恶意程序标识为 x.cpe，后门由视壮科技预埋在安卓电视盒子出厂固件当中。
问题 2：被卷入这个 130 万台电视盒子僵尸网络的设备，恢复出厂设置能不能清除后门？
回答 2：不行，属于这个 130 万台电视盒子僵尸网络的后门写在固件只读分区，普通恢复出厂、卸载 App 都没法彻底清除，就算现在控制服务器被关停，后门代码依旧留在设备内部。
问题 3：谷歌联合多方打掉这个电视盒子僵尸网络之后，黑产还能不能控制这些电视盒子？
回答 3：谷歌已经查封 XCPE 僵尸网络全部控制服务器与域名，黑产暂时失去统一指挥通道；但只要底层后门保留，如果黑产搭建新的控制基础设施，依然存在再次接管这批电视盒子的可能性。
问题 4：打造这个 130 万台电视盒子僵尸网络的厂商，谷歌给出了什么处罚？
回答 4：谷歌撤销视壮科技的 Android TV 官方合作伙伴认证，永久禁止这家公司以及关联主体继续生产预装谷歌服务的认证安卓设备。
【参考资料】
[2026-11-08]（机顶盒出厂带后门：要自证清白的是厂商，不是你）今日头条
[2026-11-06]（谷歌摧毁了隐藏在 130 万台安卓电视盒中的僵尸网络）煎蛋
[2026-11-05]（家贼难防！130 万台电视盒子暗藏后门）搜狐
[2026-11-04]（谷歌捣毁大型僵尸网络：合作厂商在 130 万台安卓机顶盒植入后门牟利）IT 之家
[2026-11-02]（谷歌捣毁涉超 130 万台安卓设备僵尸网络）FreeBuf
[2026-11-02]（Google Disrupts 1.3 Million-Device Android Botnet）The Hacker News
【免责声明】
本文全部内容整理自谷歌威胁情报报告与公开安全媒体报道；关于 130 万台电视盒子 XCPE 僵尸网络的结论为谷歌研判，不等于司法最终定论；受感染型号清单、黑产后续动向存在变化；本次行动仅切断控制链路，不能保证设备彻底安全，不代表相关品牌所有产品均存在后门；网络安全风险随时可能演变，请以谷歌后续安全公告为准。