Google 瓦解 130 萬台 Android 殭屍網路：
電視盒製造商 Videostrong 涉嫌出售後門存取
為什麼現在很紅：超過 130 萬台 Android 電視盒變成殭屍網路的一部分，被用來做廣告詐欺與當作住宅代理。Google 在 10 月底取下控制伺服器，並表示高度確信製造商 Videostrong 蓄意植入後門並出售存取權給犯罪者。後門藏在韌體裡，關機重開機就會自己復活，使用者無法自己移除。Google 已禁止 Videostrong 製造或銷售任何認證的 Android 裝置。
- 一句話結論
- Google 於 2026 年 10 月底主導一場殭屍網路清除行動，取下超過 130 萬台 Android 裝置（多數為電視盒）的控制伺服器。Google 表示高度確信深圳裝置製造商 Videostrong 蓄意在韌體中植入 x.cpe 後門並將存取權賣給犯罪者。犯罪者用這些裝置進行廣告詐欺與將他人的網路流量透過家用連線代理。後門仍在裝置上，使用者無法自行移除。Google 也取下透過後門加載的超過十幾個惡意軟體家族的控制網域，預期這次行動將切斷犯罪者對至少 1,000 萬台其他感染裝置的存取（這些裝置也透過其他途徑感染）。Google 警告後門操作者與購買存取權的犯罪者在一部分設施被中斷後會快速切換到新工具。
- 他要的是什麼
- 我不需要駭進你的電視盒，因為製造商已經幫我裝好後門了。我向 Videostrong 買存取權，x.cpe 就在你的韌體裡，有系統權限，關機重開機還會自己復活。我先關掉你的 Google Play Protect，然後我想裝什麼 app 就裝什麼。我把你的電視盒變成住宅代理，把別人的流量從你家的網路出去，看起來就像你在瀏覽。我也可以偽造廣告點擊，或是複製你的帳號資料、截圖、開 reverse shell。你重設也沒用，因為後門在韌體裡。
- 你今天做一件事
- 今天檢查家中與組織內是否有 MECOOL 或 Synthient 清單上的其他品牌電視盒。如果有，立即中斷網路連線並丟棄，不要只是重設。原廠重設無法移除 x.cpe，因為它在韌體裡，重開機就會復活。組織應將智慧裝置隔離在獨立網段，遠離敏感系統。遠端員工的家用網路上的消費型裝置應視為攻擊面，企業存取應限於受管理的裝置。阻擋 Synthient 報告列出的 C2 網域與 IP。檢查路由器的連線裝置清單，確認是否有非預期的 Android TV 盒或數位看板。 直接去做 →
- 哪些能信
- 15 可證明1 推論1 缺口 每個主張都標了等級，缺口是誠實寫出來的。
- 破口速查
- 受害端一律去識別化；寫「未公開」代表公開資料查不到。
- 伺服器服務商
- 超過 130 萬台 Android 裝置，多數為 Android TV 電視盒，也包括遠距醫療裝置、卡拉 OK 機、數位看板。206 個型號，182 個型號名稱由 Synthient 發布。主要品牌 MECOOL（Synthient 連結到 Videostrong）。
- 網路服務商
- x.cpe 後門（系統 app，系統層級權限），與 C2 伺服器通訊，安裝 app 前關閉 Google Play Protect，執行指令、截圖、複製帳號細節、開啟 reverse shell。加載模組多為住宅代理與頻寬銷售、廣告詐欺。
- 漏洞出現的地方
- 全球：馬來西亞、巴西、伊拉克、墨西哥、台灣（最多）；美國、德國、英國、澳洲、加拿大各約 26,000–42,000 台。TrendAI 計數 2026-06-03 至 2026-10-01，共 1,472,554 台。Google 表示超過 130 萬台失去控制伺服器的存取。
- 馬上自我檢測
檢查家中或組織內是否有 Synthient 發布的 182 個型號清單中的裝置（特別是 MECOOL 品牌） 檢查網路上是否有連線到已知 C2 網域或 IP 的裝置 檢查 Wi-Fi 路由器的連線裝置清單，確認是否有非預期的 Android TV 盒或數位看板- 漏洞修補方式
- 立即中斷疑似感染裝置的網路連線 原廠重設（但 x.cpe 會在重開機後重新安裝） Synthient 建議直接丟棄，因高度惡意軟體風險 組織應使用 Synthient 的指標找出 MECOOL 或類似裝置，中斷連線並丟棄，阻擋 C2 網域與 IP，將智慧裝置隔離在獨立網段 遠端員工的消費型裝置應視為攻擊面，企業存取應限於受管理的裝置
有 15 分鐘再看：其餘 2 點
- x.cpe 後門以系統 app 的身分在韌體中執行，具有系統層級權限，向殭屍網路的 C2 伺服器回報並等待指令。為了無聲安裝軟體，它先關閉 Google Play Protect（Android 內建安全功能）的 app 檢查。透過後門，操作者可以無聲安裝 app、執行指令、截圖、繪製裝置所在的網路拓樸。Google 表示看到 Videostrong 操作者使用部分這些能力：截取即時截圖、傳送按鍵、複製帳號細節、裝置資訊、app 清單與系統 log，以及開啟 reverse shell。多數犯罪者模組將裝置變成住宅代理或販售閒置頻寬；住宅代理服務販售家用網路連線的存取，讓客戶流量看起來來自一般家庭。其他模組偽造線上廣告的觀看次數。
- TrendAI 在 2026 年 6 月 3 日至 10 月 1 日間計數 1,472,554 台感染裝置，橫跨 206 個型號，並表示真實數量至少如此。馬來西亞、巴西、伊拉克、墨西哥、台灣最多；美國、德國、英國、澳洲、加拿大各約 26,000–42,000 台。Synthient 發布 182 個型號名稱清單，但警告僅憑型號名稱無法確認裝置感染。Synthient 報告聚焦於 MECOOL 品牌的盒子，連結到 Videostrong；它購買了 MECOOL KM9PRO Max 並發現後門預先安裝。Plume 發現超過十幾個不同裝置使用殭屍網路的控制伺服器，多數來自 MECOOL。因 x.cpe 是韌體的一部分，移除它不會持久，重開機後會重新安裝。TrendAI 表示後門以製造商金鑰簽署的系統 app 執行，清理需要「供應商動作、平台保護或更換裝置」。Plume 建議完整原廠重設（因模組可能安裝更多後門），但未說明重設是否移除 x.cpe 本身。Synthient 更進一步，建議消費者將盒子永久丟棄，因高度惡意軟體風險。
Google 於 2026 年 10 月底主導一場針對超過 130 萬台 Android 裝置（多數為電視盒）的殭屍網路清除行動，取下控制伺服器。Google 表示高度確信裝置製造商 Videostrong 蓄意在韌體中植入 x.cpe 後門並將存取權賣給犯罪者。後門仍在裝置上且使用者無法自行移除，重開機後會重新安裝。Google 已禁止 Videostrong 製造或銷售認證的 Android 裝置。
本篇目錄
發生了什麼
來源：本文整理自 The Hacker News 於 2026 年 11 月 2 日發布的報導，引述 Google 的公告、TrendAI、Synthient、Plume 的報告。原文連結，原文發布日期為 Mon, 02 Nov 2026 21:20 +0530。
超過 130 萬台 Android 裝置，多數為電視盒，在 2026 年 10 月底失去對其控制伺服器的存取，這是由 Google 主導的清除行動。
Google 表示高度確信裝置製造商 Videostrong 蓄意在盒子中植入後門並將存取權賣給犯罪者。
犯罪者用這些盒子進行廣告詐欺與將他人的網路流量透過擁有者的家用連線代理。後門仍在盒子上，擁有者無法自行移除。
Videostrong 位於中國深圳，製造 Android TV 盒與其他裝置，以自有品牌與為其他品牌代工。後門名為 x.cpe，被植入許多裝置型號與品牌，跨越數年。Google 不認為是內部人員作亂或錯誤導致。
清除行動與影響
Google 使用法律行動取下控制殭屍網路的網域與伺服器。它也取下透過後門加載的超過十幾個惡意軟體家族的控制網域。
因為這些惡意軟體背後的犯罪者也透過其他途徑散播它，Google 預期這次行動將切斷他們對至少 1,000 萬台其他感染裝置的存取。
Google 警告，後門操作者與向他們購買的犯罪者在一部分設施被中斷時會快速切換到新工具。
Google 的回應
Google 已切斷與 Videostrong 的關係。它禁止該公司及任何未來的子公司或關聯企業製造或銷售認證的 Android 裝置，也禁止它向其他認證裝置製造商供應軟體。
後門做了什麼
x.cpe 後門以系統 app 的身分在韌體內執行，具有系統層級權限。它向殭屍網路的 command-and-control (C2) 伺服器回報並等待指令。
為了無聲安裝軟體，它先關閉 Google Play Protect（Android 的內建安全功能）的 app 檢查。
透過後門，殭屍網路操作者可以無聲安裝 app、執行指令、截圖與繪製盒子所在的網路拓樸。
Google 表示它看到 Videostrong 的操作者使用部分這些能力。他們截取即時截圖、傳送按鍵、複製帳號細節、裝置資訊、app 清單與系統 log，以及開啟 reverse shell（提供遠端命令列存取盒子）。
犯罪者的模組做了什麼
多數犯罪者的模組（透過後門加載的附加程式）將盒子變成住宅代理或販售閒置頻寬。住宅代理服務販售家用網路連線的存取，讓客戶的流量看起來來自一般家庭。其他模組偽造線上廣告的觀看次數。
受影響的裝置
多數感染裝置是 Android TV 電視盒，但後門也出現在遠距醫療裝置、卡拉 OK 機與數位看板上。
數量與分布
TrendAI（Trend Micro 的企業事業單位）在 2026 年 6 月 3 日至 10 月 1 日間計數 1,472,554 台感染裝置，橫跨 206 個型號，並表示真實數量至少如此。
馬來西亞、巴西、伊拉克、墨西哥、台灣擁有最多感染裝置。美國、德國、英國、澳洲、加拿大各約有 26,000 至 42,000 台。
擁有者該怎麼做
Synthient（追蹤代理網路與殭屍網路）發布了一份 182 個裝置型號名稱的清單，這些是在活動中看到的。清單警告僅憑型號名稱無法確認盒子感染。
Synthient 的報告聚焦於 MECOOL 品牌的盒子，連結到 Videostrong。它購買了一台 MECOOL KM9PRO Max 並發現後門預先安裝。Plume（為網路業者製作 Wi-Fi 軟體）發現超過十幾個不同裝置使用殭屍網路的控制伺服器，多數來自 MECOOL。
無法永久移除
因為 x.cpe 是韌體的一部分，移除它不會持久。重開機後它會重新安裝自己。
TrendAI 表示後門以製造商金鑰簽署的系統 app 執行，所以清理需要「供應商動作、平台保護或更換裝置」。
建議
Plume 建議完整原廠重設，因為模組可能安裝了更多後門，但它未說明重設是否移除 x.cpe 本身。
Synthient 更進一步，建議消費者永久丟棄盒子，因為它們構成高度惡意軟體風險。
組織的建議
Synthient 建議組織採取以下步驟：
- 使用其發布的指標在網路上找出 MECOOL 或類似裝置
- 中斷連線並丟棄任何找到的裝置
- 阻擋其報告列出的控制網域與 IP 位址
- 將其他智慧裝置保持在獨立網段，遠離敏感系統
TrendAI 建議有遠端員工的公司將家用網路上的非受管理消費型裝置視為攻擊面的一部分，並將企業存取限於受管理的裝置。
Videostrong 如何被識別
在 Google 的描述中，x.cpe 將 C2 伺服器的設定傳遞給其他 Videostrong app，包括其 YokaTV Player 串流 app。託管殭屍網路套件的其中一個 GitHub 帳號名為 yf-videostrong。
與 Google 合作的 Synthient 也以高度確信斷定 Videostrong 運行這個操作。它指出在殭屍網路伺服器之一的開放資料夾中，有一份由 Videostrong 研發總監簽署的文件，以及一個與操作者控制面板共用 IP 位址的 Videostrong 網域。
Plume 發現 Videostrong 同時供應這些裝置的韌體與遠端管理工具。
Google 裝置測試的缺口
Google 要求裝置製造商通過一組相容性與安全測試。它表示 Videostrong 隱藏其程式碼以繞過測試中的缺口，並在裝置首次開機後才加載惡意程式碼。
Google 已改變審查流程，並正在改進對認證 Android TV 裝置韌體的檢查。
截至 2026 年 11 月 2 日，Videostrong 自己的網站仍列出它稱為「Google 認證 Android TV Box」與「Google 認證 Android TV Stick」的產品。
Plume 表示殭屍網路包含同時有 Google 認證裝置與執行 Android Open Source Project (AOSP) 版本的裝置。Google 的報告未說明多少認證裝置受影響。
對比先前的 BadBox 2.0
當 Google 在 2025 年 7 月就 BadBox 2.0 殭屍網路提起訴訟時，涉及的超過 1,000 萬台裝置是未認證的。
你可以學到什麼
站在攻擊者的角度：我不需要駭進你的電視盒，因為製造商已經幫我裝好後門了。我向 Videostrong 買存取權，x.cpe 就在你的韌體裡，有系統權限，關機重開機還會自己復活。我先關掉你的 Google Play Protect，然後我想裝什麼 app 就裝什麼。我把你的電視盒變成住宅代理，把別人的流量從你家的網路出去，看起來就像你在瀏覽。我也可以偽造廣告點擊，或是複製你的帳號資料、截圖、開 reverse shell。你重設也沒用，因為後門在韌體裡。
- 01供應鏈攻擊是最難防禦的攻擊之一：製造商在韌體中植入後門，使用者與安全工具都難以偵測與移除。
- 02認證不保證安全：即使是 Google 認證的裝置也可能含有後門，因為製造商可以隱藏程式碼以繞過測試缺口。
- 03韌體層級的後門幾乎無法移除：x.cpe 以製造商金鑰簽署，原廠重設無效，重開機後會重新安裝。
- 04住宅代理是惡意流量的洗白工具：犯罪者透過感染的家用裝置代理流量，讓惡意活動看起來來自一般家庭。
- 05廣告詐欺是殭屍網路的獲利模式之一：偽造廣告觀看次數讓犯罪者從廣告商處獲利。
- 06智慧裝置擴大了攻擊面：電視盒、遠距醫療裝置、卡拉 OK 機、數位看板都可能成為殭屍網路的一部分。
- 07Google Play Protect 可以被關閉：後門在無聲安裝 app 前先關閉 Android 的內建安全功能。
- 08遠端員工的家用裝置是企業攻擊面：公司應將遠端員工家用網路上的非受管理裝置視為風險。
- 09清除行動只是暫時的：Google 警告犯罪者會快速切換到新工具，因為後門仍在裝置上。
- 10數量驚人：130 萬台是取下的數量，TrendAI 計數超過 147 萬台，Google 預期影響至少 1,000 萬台其他裝置。
- 11唯一解決方法是丟棄：Synthient 建議直接丟棄感染裝置，因為原廠重設無法移除韌體層級的後門。
- 01x.cpe植入 Videostrong 裝置韌體的後門，以系統 app 身分執行，系統權限，重開機後重新安裝。
- 02Videostrong深圳裝置製造商，Google 指其蓄意植入後門並販售存取權給犯罪者。已被 Google 禁止製造或銷售認證 Android 裝置。
- 03MECOOLVideostrong 的品牌，Synthient 購買 KM9PRO Max 發現後門預先安裝，多數感染裝置來自此品牌。
- 04住宅代理（Residential Proxy）販售家用網路連線存取的服務，讓客戶流量看起來來自一般家庭，是後門的主要用途之一。
- 05廣告詐欺（Ad Fraud）偽造線上廣告觀看次數，是後門的另一個主要用途。
- 06TrendAITrend Micro 企業事業單位，計數 2026-06-03 至 2026-10-01 間 147 萬台感染裝置，橫跨 206 個型號。
- 07Synthient追蹤代理網路與殭屍網路，發布 182 個型號清單與 C2 指標，建議消費者丟棄感染裝置。
- 08Plume為網路業者製作 Wi-Fi 軟體，發現超過十幾個裝置使用殭屍網路控制伺服器，多數來自 MECOOL。
全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。
- 檢查家中與組織內的 Android TV 盒品牌看到什麼代表什麼：查看是否有 MECOOL 品牌或 Synthient 清單上的其他 182 個型號。特別注意電視盒、遠距醫療裝置、卡拉 OK 機、數位看板。
- 檢查路由器的連線裝置清單看到什麼代表什麼：確認是否有非預期的 Android TV 盒或數位看板連線到網路。
- 中斷疑似感染裝置的網路連線看到什麼代表什麼：立即從網路上移除 MECOOL 或清單上的其他裝置。
- 丟棄感染裝置看到什麼代表什麼：不要只是重設。Synthient 建議永久丟棄，因為原廠重設無法移除韌體中的 x.cpe。
- 阻擋 C2 網域與 IP看到什麼代表什麼：使用 Synthient 報告列出的指標，在防火牆或 DNS 層阻擋控制網域與 IP。
- 隔離智慧裝置看到什麼代表什麼：將智慧電視、電視盒、IoT 裝置放在獨立網段，遠離敏感系統與企業網路。
- 檢視遠端員工的家用網路看到什麼代表什麼：確認遠端員工的企業存取限於受管理的裝置，不要讓消費型裝置存取企業資源。
如果你有 Android TV 盒
- 立即檢查品牌與型號：特別是 MECOOL，或 Synthient 清單上的其他品牌
- 中斷網路連線：如果是疑似感染的裝置
- 不要只是重設：原廠重設無法移除韌體中的 x.cpe，重開機後會重新安裝
- 直接丟棄：Synthient 建議永久丟棄，因為後門無法移除且構成高度惡意軟體風險
- 更換裝置：購買其他品牌的電視盒，或使用電視內建的智慧功能
如果你管理組織網路
- 使用 Synthient 的指標：掃描網路找出 MECOOL 或類似裝置
- 中斷連線並丟棄：不要試圖清理，因為無法永久移除後門
- 阻擋 C2 網域與 IP：使用 Synthient 報告的指標
- 隔離智慧裝置：將 IoT 裝置、數位看板、電視盒放在獨立網段
- 限制遠端員工的存取：企業存取限於受管理的裝置，不允許家用消費型裝置
130 萬台裝置，後門在韌體裡，重開機會復活，唯一解決方法是丟棄。今天就檢查你的電視盒。
環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 9 分鐘。
來源
本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。
本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。
複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。
預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。
M7 供應鏈安全 · 想在自己的環境做一次同樣的盤點，從 自我盤點 開始。
每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。