科技公司联手捣毁将130万台电视盒子变为代理节点的僵尸网络

<p><strong>Google</strong> 今天宣布，它与行业合作伙伴联手捣毁了一个由超过 130 万台 <strong>Android</strong> 电视盒子组成的僵尸网络，这些盒子出厂时就预装了恶意软件，会秘密地将用户的互联网连接出租给陌生人，并从事广告欺诈。参与此次行动的专家表示，这一行动很可能切断该僵尸网络对另外 1000 多万台已被入侵系统的访问，其中包括基于 Android 的医疗设备和卡拉 OK 机等其他物联网（IoT）产品。</p> <p><strong>Google Threat Intelligence Group</strong>（GTIG）的一份报告称，Google 已终止与 <strong>Videostrong Technology Co.</strong> 的合作关系。这是一家中国的电视盒子制造商，GTIG 及其他行业专家得出结论，该公司负责在产品中植入恶意软件，将超过 130 万台机顶盒纳入一个名为“<strong>XCPE</strong>”的僵尸网络（该名称取自恶意软件的核心代码组件之一）。</p> <div id="attachment_74560" style="width: 759px" class="wp-caption aligncenter"><img fetchpriority="high" decoding="async" aria-describedby="caption-attachment-74560" class=" wp-image-74560" src="https://krebsonsecurity.com/wp-content/uploads/2026/11/xcpe-map.png" alt="" width="749" height="418" srcset="https://krebsonsecurity.com/wp-content/uploads/2026/11/xcpe-map.png 851w, https://krebsonsecurity.com/wp-content/uploads/2026/11/xcpe-map-768x429.png 768w, https://krebsonsecurity.com/wp-content/uploads/2026/11/xcpe-map-782x436.png 782w" sizes="(max-width: 749px) 100vw, 749px" /><p id="caption-attachment-74560" class="wp-caption-text">XCPE 僵尸网络感染的全球分布情况。图片来源：Google Threat Intelligence Group。</p></div> <p>报告称，XCPE 僵尸网络在用户的设备上加载软件，使其互联网地址可被多个“住宅代理”服务转售，这些服务允许客户租用互联网地址，以匿名化其网络流量或伪造其真实位置。正如<a href="https://krebsonsecurity.com/tag/residential-proxy/" target="_blank" rel="noopener">过去一年本站的多篇报道</a>所述，住宅代理服务是不良且往往带有恶意的流量的主要来源，包括账号劫持、广告欺诈，以及为 AI 项目大规模抓取内容等行为。</p> <p>“Videostrong 通过向犯罪团伙出售后门访问权限，并在被感染设备上加载这些团伙的恶意软件模块来牟利，”<a href="https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet" target="_blank" rel="noopener">GTIG 的博文</a>写道，并指出 Google 采取了法律行动，下线了 Videostrong 用于控制该僵尸网络并安装更多恶意软件的域名和服务器。“设备制造商故意用恶意软件感染自己的用户，这是不可接受的背叛信任行为，对这些用户构成严重风险。在用户不知情或未同意的情况下，被感染的设备被当作分发机制，供各类犯罪分子使用。”</p> <p>报告指出，虽然电视盒子占该僵尸网络的大多数，<em>但在其他基于 Android 的物联网产品中也发现了相同的 XCPE 恶意软件，包括远程医疗设备、卡拉 OK 机，甚至数字标牌系统</em>。</p> <p>Google 表示，它要求所有 Android 设备制造商通过兼容性和安全性测试，以确保其产品不会对用户造成伤害，但 Videostrong 仍然找到了一种方法，在用户首次启动这些设备后立即加载其恶意软件（Google 表示此后已修复该漏洞）。</p> <p>GTIG 报告点名了多家住宅代理提供商，其软件开发工具包（SDK）经常被 XCPE 僵尸网络感染的设备下载。其中包括 <strong>AppSalt</strong>（又名 <strong>Honeygain</strong>），该公司隶属于位于立陶宛维尔纽斯的 <strong>Oxylabs</strong>。2026 年 10 月，Oxylabs 在获得私募股权公司 Warburg Pincus 1.3 亿美元的投资后，以新品牌 <strong>Source</strong> 重新推出，<a href="https://app.dealroom.co/news/note/oxylabs-parent-launches-as-source-at-3-6b-valuation" target="_blank" rel="noopener">据报道</a>该笔投资对公司的估值为 36 亿美元。Oxylabs 未回应置评请求。</p> <p>另一个与该僵尸网络相关的提供商是 <strong>NetNut</strong>，这是一家曾经业务庞大的住宅代理公司，由以色列上市公司 <strong>Alarum Technologies</strong> 运营。2026 年 7 月，FBI 与行业合作伙伴合作<a href="https://krebsonsecurity.com/2026/06/popa-botnet-linked-to-publicly-traded-israeli-firm/" target="_blank" rel="noopener">查封了与 NetNut 相关的数百个域名</a>，称该公司负责运营一个名为 <strong>Popa</strong> 的独立僵尸网络，该网络将电视盒子奴役为住宅代理。GTIG 报告中点名的其他代理提供商包括 <strong>EarnFM</strong>、<strong>Traffmonetizer</strong>、<strong>Jaguar</strong>、<strong>LINKFOG</strong>、<strong>BMW/IPWeb</strong> 和 <strong>GaGaNode</strong>。<span id="more-74548"></span></p> <p>Google 的公告感谢了多家行业合作伙伴，其中包括追踪代理提供商的初创公司 <strong>Synthient</strong>。2026 年 1 月，Synthient <a href="https://krebsonsecurity.com/2026/01/the-kimwolf-botnet-is-stalking-your-local-network/" target="_blank" rel="noopener">发布了研究</a>，揭示了 <strong>Kimwolf</strong> 僵尸网络的快速传播，当时该网络正以<a href="https://krebsonsecurity.com/2025/10/ddos-botnet-aisuru-blankets-us-isps-in-record-ddos/" target="_blank" rel="noopener">破纪录的 DDoS 攻击</a>猛烈冲击全球网络。Synthient 记录了 Kimwolf 如何几乎在一夜之间感染了数百万台 Android 机顶盒，利用这些住宅代理服务中的一个普遍漏洞，入侵了毫无戒心的电视盒子用户本地网络中的其他基于 Android 的设备。</p> <p>Synthient 的研究促使数十家住宅代理提供商修补其网络，这有助于将 Kimwolf 僵尸网络分割成更小的碎片，使其<a href="https://krebsonsecurity.com/?s=kimwolf" target="_blank" rel="noopener">持续且具有破坏性的 DDoS 攻击</a>更容易被网络运营商管理。该研究还引起了代表好莱坞主要制片公司的行业协会<strong>美国电影协会（Motion Picture Association，MPA）</strong>的关注，MPA 与 Synthient 合作，购买并拆解了多款流行的 Android 电视盒子——其中一些正在被 Kimwolf 和其他物联网僵尸网络感染。</p> <p>在<a href="https://synthient.com/blog/the-internals-of-a-badbox-operation" target="_blank" rel="noopener">今天发布的一份报告</a>中，Synthient 检查了一款由上市公司 <strong>Skyworth Technology</strong> 在中国销售的、以 <strong>MECOOL</strong> 品牌出售的流行预感染电视盒子，得出结论认为 MECOOL 同样捆绑了来自 Videostrong Technology Co. 的恶意软件，并且也安装了 AppSalt/Honeygain 及其他代理组件。</p> <div id="attachment_74557" style="width: 758px" class="wp-caption aligncenter"><img decoding="async" aria-describedby="caption-attachment-74557" class=" wp-image-74557" src="https://krebsonsecurity.com/wp-content/uploads/2026/11/mecoolboxes.png" alt="" width="748" height="419" srcset="https://krebsonsecurity.com/wp-content/uploads/2026/11/mecoolboxes.png 1016w, https://krebsonsecurity.com/wp-content/uploads/2026/11/mecoolboxes-768x431.png 768w, https://krebsonsecurity.com/wp-content/uploads/2026/11/mecoolboxes-782x439.png 782w" sizes="(max-width: 748px) 100vw, 748px" /><p id="caption-attachment-74557" class="wp-caption-