130万台机顶盒被当成“住宅代理”，普通用户的宽带会受什么牵连_

牵连主要有三类，都发生在用户不知情的情况下：上行带宽被长期占用拖慢网速、家庭 IP 被犯罪流量冒用而面临风控和调查，以及设备被远程控制却难以彻底清除。这些结论来自谷歌 11 月初披露的一起僵尸网络事件：名为 XCPE 的后门网络已把超过 130 万台安卓电视盒变成"住宅代理"节点，涉嫌开发并出售设备控制权的不是外部黑客，而是获得 Android TV 认证的机顶盒厂商本身。知乎

谷歌披露了什么

当地时间 11 月 2 日，谷歌威胁情报团队（GTIG）公布调查结果：一个名为 XCPE 的后门网络已控制超过 130 万台安卓电视盒，攻击者可以远程下发指令，静默安装应用、执行 Shell 命令、运行脚本，甚至截取设备屏幕、探测用户所在的家庭网络。攻击者可借此实施广告欺诈、搭建住宅代理网络，甚至远程植入恶意软件。这套后门程序在固件里名为 com.oemservice（部分版本叫 x.cpe），出厂就躺在系统分区、带着系统级权限——它不是用户误装的某个软件。知乎IT之家知乎

谷歌认定，这不是某个员工的私自行为，也不是开发疏忽，而是公司层面的经营行为：曾获 Android TV 认证的深圳代工厂视壮科技（Videostrong）被指故意在 130 万台电视机顶盒中植入后门，并向犯罪团伙出售访问权限。处置已经落地：谷歌终止与其合作、禁止其生产预装谷歌应用的设备，并同步打掉运营用的域名和服务器，日本警察厅与多家安全公司参与了行动。视壮科技方面目前未公开回应。IT之家知乎

这套后门还专门规避检测：Videostrong 利用代码混淆等技术，绕过部分兼容性和安全测试，在设备首次启动后才加载恶意代码——兼容性测试、出厂检验大多在首启之前跑完，测试期看它是"干净"的。持久化能力同样强：即使被删掉，它也能在重启后从 /oem/ 分区把自己恢复回来。知乎知乎

家庭宽带是怎么变成"代理出口"的

所谓住宅代理，就是利用普通家庭宽带和真实家庭 IP 转发网络流量；这些流量看起来来自普通家庭网络而非数据中心服务器，更容易被网络平台当成正常用户访问。总有一批业务需要"看起来像真人家庭网络"的出口 IP：比价、刷单、绕过地域限制，也包括大规模内容抓取。一台常年插电开机的电视盒，恰好是这类出口的稳定货源。知乎知乎

谷歌观察到，变现模块主要有住宅代理、广告欺诈和继续植入其他恶意软件三类，下游犯罪关联方可以在受感染的设备上加载各自的恶意模块，把盒子变成代理节点。甚至有设备同时跑着三套代理，同一户带宽被卖给三个不同买家。设备按时区分池、带宽用量计量、异常自动告警——这套东西形同一份现成的租赁后台。知乎知乎

具体到普通用户，会受什么牵连

第一层最直接：网速。住宅代理流量以持续上传为特征，一台看似待机的盒子长期占用上行带宽，家庭网络可能出现整体变慢、游戏延迟升高、视频通话卡顿，而用户很难想到根源是电视柜下那个"没在干活"的盒子。正常观影以下载为主，待机时仍持续上传不符合使用习惯。知乎

第二层是 IP 信誉：当家庭 IP 被大量灰色甚至违法流量用作出口，它可能被内容平台标记为高风险，触发验证码、限制登录注册；谷歌也明确提醒，由此产生的异常流量、网络滥用行为，可能让家庭 IP 卷入各类网络安全调查。还有一层牵连容易被忽略：近年运营商对家庭宽带异常上传、带宽转租的治理本就趋严，连自愿安装 PCDN 收益软件的用户都有限速上传、上门核查的先例，盒子"擅自"持续上传时，用户可能连自证"不是我干的"都要额外花成本。知乎知乎

第三层是设备本身。截屏、按键记录、账户信息读取意味着客厅里的盒子可能掌握遥控器输入、账号登录界面等敏感画面；而由于后门常驻厂商预装分区、还会关闭 Google Play Protect 的校验，恢复出厂设置未必能清除干净——用户既看不见，也删不掉。

数字边界：哪些说法容易误读

三个口径要分清。130 万台是谷歌统计的 XCPE 感染规模；第三方安全公司 Synthient 独立统计到 147 万台受感染设备、182 个型号，高于谷歌数字。有报道提到受影响设备中相当一部分以 MECOOL 品牌销售，Synthient 公布的型号清单也是目前少数可供核对的名单。谷歌说的"打击 C2 域名后有望切断犯罪团伙对至少另外 1000 万台受感染设备的访问"，指的是通过其他渠道分发同类模块的存量设备，不是 XCPE 新增感染。同样要说清边界：谷歌并未公布完整的受影响品牌型号清单，不能推断所有安卓盒子都有问题；被拆掉的是运营基础设施，已经卖出去的设备不会因此自动变干净。受影响的也不只是家庭场景，谷歌披露远程医疗设备、KTV 点歌机、数字广告屏等同类安卓方案同样中招。知乎知乎