视壮科技在超过130万台安卓电视盒子里预装后门 谷歌宣布摧毁其C2服务器并切断认证合作
内容提要
谷歌捣毁XCPE僵尸网络，发现深圳视壮科技在130多万台安卓电视盒子固件中预装后门，并出售访问权用于广告欺诈、住宅代理等，还波及远程医疗等设备。谷歌已终止与其认证合作，禁用其认证安卓设备，并打击控制服务器。该后门难以卸载，重启后可能重装，用户应断网核实设备并修改密码。
延伸解读
后门为何难以清除
后门组件预装在固件分区，以系统级权限自动运行，即使用户从应用目录卸载，重启后也可能自动重装。这意味着常规的卸载操作无效，用户无法自行彻底清除。谷歌建议怀疑设备有问题时断网并联系销售商或品牌方确认固件修复方案，但文章未说明是否已有可用修复。
代工模式扩大影响范围
视壮科技为其他品牌提供代工服务，因此受影响的设备可能不限于视壮品牌，其他品牌设备也可能内置后门。文章指出这些品牌是否知晓此事尚不清楚。这提醒读者，仅凭品牌判断设备安全性并不可靠，需核对具体制造商和型号。
谷歌的处置与局限
谷歌已终止与视壮科技的认证合作，禁止其制造和销售认证安卓设备，并联合执法机构破坏了控制服务器和域名。但这些行动针对的是网络控制端，已售出设备中的后门本身仍无法远程移除。谷歌还计划改进固件完整性检查，但这对已受影响设备无追溯效力。
用户可采取的行动
若怀疑设备被感染，应尽快断网，核对设备制造商和型号，联系销售商或品牌方确认是否有可信的固件修复方案。若曾在可疑设备上登录账号，应修改这些账号的密码。由于后门可能静默安装应用、截屏和探测网络，及时断网可限制其活动。
Q&A
视壮科技在安卓电视盒子里预装后门是怎么回事？
谷歌威胁情报团队发现，深圳视壮科技在超过130万台安卓电视盒子的固件中预装了后门程序，并运营名为XCPE的僵尸网络。该公司将受感染设备的访问权限出售给黑灰产，用于广告欺诈、住宅代理、流量转发和分发恶意程序。
XCPE僵尸网络的后门程序有哪些危害？
后门组件以系统级权限自动运行，可静默安装应用、执行命令、截屏、收集设备信息、探测用户网络，还能加载恶意模块将设备变成住宅代理出口，或实施广告欺诈、下载更多恶意程序。
除了电视盒子，还有哪些设备可能受感染？
大多数受影响设备是视壮科技生产或代工的安卓电视盒子，但谷歌也发现部分远程医疗设备、卡拉OK设备和数字标牌等安卓设备受到感染。
谷歌对视壮科技采取了哪些处置措施？
谷歌终止了与视壮科技的所有合作，禁止该公司及其关联实体制造和销售经过认证的安卓设备，也禁止其向其他认证厂商提供软件。此外，谷歌通过法律行动破坏了僵尸网络的控制服务器和域名，并准备改进安卓电视设备的固件完整性检查。
普通用户如何判断自己的电视盒子是否安全？
如果怀疑设备有问题，应尽快断网，核对设备的制造商和型号，联系销售商或品牌方确认是否有可信的固件修复方案。若曾在可疑设备上登录过账号，应立即修改这些账号的密码。
为什么用户自己无法卸载这个后门？
因为后门程序预装在电视盒子的固件分区中，即使部分组件从用户应用目录卸载，设备重启后也可能自动重新安装，导致用户无法彻底清除。
