电视柜下的小盒子，待机时也亮着一盏灯。你以为它在等遥控器，它可能正在替陌生人转发流量。
当地时间11月2日，谷歌威胁情报团队公布了一起供应链事件：一个叫XCPE的恶意网络控制了超过130万台安卓电视盒子，分布在全球。知乎知乎
调查指向深圳视壮科技（Videostrong）。不是外部黑客后来攻破，而是代工厂把后门写进固件，再把访问权卖给犯罪团伙。知乎
后门不是用户误装的App。它躺在系统分区里，程序名com.oemservice，部分固件里叫x.cpe，开箱就带着系统级权限。知乎
装应用、执行命令、截屏、记录按键、扫描局域网，都不用弹授权框。设备启动后先通过HTTP取配置，再挂上MQTT长连接等指令。运营方管理MQTT的EMQX控制台，谷歌也找到了。知乎
它躲得很有耐心。恶意代码被安排到设备首次开机之后才加载，出厂兼容性测试和认证检测大多在首启前完成，那会儿看它是干净的。
用户删掉也没用，重启后它能从/oem/分区把自己恢复回来。恢复出厂设置清的是用户数据区，这类厂商分区常常不在清理范围。知乎
它还会关掉Play Protect的校验，让静默安装少一道阻力。知乎
受影响的也不只是电视盒子。远程医疗设备、KTV点歌机和数字广告屏都在谷歌的名单里。它们的共同点是长期在线、由第三方运维，真出了事最难追溯。
变现靠模块。谷歌观察到三类：住宅代理、广告欺诈、继续分发恶意软件。
代理套件有Linkfog、AppSalt、GaGaNode、BWM、Traffmonetizer、EarnFM、NetNut。广告欺诈模块叫Fission和HiddenView。
有的设备同时跑三套代理，一份家庭带宽卖给三个买家。
住宅代理为什么值钱？它能让流量看起来来自真实家庭网络。比价、刷单、绕过地域限制、大规模抓取，都要这种出口IP。
AI把抓取规模推高后，干净的家庭IP更紧俏。一台常年开机的盒子，就是稳定货源。
运营方按设备时区分池、计量带宽、异常告警，做得像一套租赁后台。
认证为什么没拦住？安卓电视认证审的是兼容性和预装规范，审不出“这家公司准备作恶”，也审不出首启后才加载的代码。
Play Protect守的是应用安装，预装的系统级程序不归它管。设置里那句“已通过Play安全检测”，说的是应用层，不是固件干净。
谷歌的处理很重：终止合作，禁止视壮及其子公司生产销售带谷歌服务的认证设备，也不许它给其他认证厂商供软件。知乎
同时，谷歌端掉了C2域名和服务器。谷歌估计，这能让另外至少1000万台通过其他渠道感染相关模块的设备失去控制。1000万不是新增感染，是评估值，不能和130万相加。知乎
数字还有一处对不上。第三方安全公司Synthient统计到147万台受感染设备、182个型号，比谷歌的130万更多。知乎
口径不同，但都说明设备不会因为后台被端掉就自动变干净。报道提到部分设备以MECOOL品牌销售，完整的品牌型号清单至今没公布。视壮科技也没有回应。知乎知乎
家里有杂牌盒子，可以先看两件事。路由器后台里，盒子待机时是否还在持续上传；连接的境外地址是否眼生。
正常看视频以下载为主，长期稳定上传不符合使用习惯。把电视盒、点歌机、广告屏放进访客网络，和存资料的电脑、NAS分开，比事后查杀更实际。
买新设备时，优先选有明确品牌、查得到固件更新和安全公告的。“共享闲置带宽换收益”的App，和这件事用的是同一套资源。
谷歌说后门已经拆了，但拆的是运营基础设施，不是卖出去的机器。那颗待机灯还亮着。你还记得客厅里那台盒子是什么牌子、哪年买的吗？
