---
title: "當 Google 官方認證淪為韌體後門保護傘，剖析深圳視壯 147 萬台電視盒子的監守自盜"
url: "https://afengblog.com/zh-hk/blog/google-certified-xcpe-botnet-videostrong-android-tv.html"
language: "zh-HK"
author: "AFeng"
published: "2026-11-03T15:05:30.332Z"
updated: "2026-11-03T15:08:37.762Z"
category: "安全與私隱"
tags: ["網絡安全","技術復盤","供應鏈安全","Android TV","殭屍網絡"]
reading_time: "40 分鐘閱讀"
description: "深入剖析 Google 聯同日本警察廳等七方搗破深圳視壯科技（Videostrong）預載 XCPE 殭屍網絡全案，拆解 147.25 萬台 MECOOL 等認證電視盒子如何藉首次開機延遲載入繞過審查、並行掛載三套代理餵養獨角獸，以及鎖死 Bootloader 斷絕刷機自救退路的困局。"
---

# 當 Google 官方認證淪為韌體後門保護傘，剖析深圳視壯 147 萬台電視盒子的監守自盜

> Google 聯同日本警察廳等七方機構搗破預載於 147.25 萬台 Android TV 設備中的 XCPE 韌體後門，罕有直接點名並永久封殺持牌認證合作夥伴深圳視壯科技（MECOOL 母公司），連帶切斷逾 1,000 萬台下游傀儡設備連線。當持牌廠商利用首次開機延遲載入瞞過認證測試，被鎖死 Bootloader 的正版用家連刷入開源系統自救的後路亦被徹底封死。

## TL;DR（重點速覽）

- Google 聯同日本警察廳等七方搗破深圳視壯科技預載的 XCPE 殭屍網絡，TrendAI 四個月實測感染達 1,472,554 台，連帶切斷下游逾 1,000 萬台受控設備。
- 首次證實持牌 Google 認證 OEM 監守自盜，利用首次開機連網後延遲拉取載荷繞過出廠測試，並將 package_verifier_user_consent 改為 -1 靜默關閉 Play Protect。
- 主控同域開放目錄截獲視壯研發總監親筆簽署的歐盟合規聲明鐵證，創維數字代工的雙認證款 MECOOL KM9PRO MAX 拆機同告染毒，MECOOL 官網 39 款商品一夜停售。
- 單台機頂盒最多並行掛載 3 套代理 SDK 並鎖定 70% CPU 隱身紅線，餵養 36 億美元獨角獸 Oxylabs 與點心雲 AI 閘道器，淪為日本 44% 網上銀行盜款案（約 30 億日圓損失）跳板。
- Google 認證強制鎖死 Bootloader 封死了正版用家重刷 CoreELEC 自救的退路，而涉事廠商官網已轉向 AI 陪伴與長者看護機械人 ODM，旗下康養中樞 HC1 已證實染毒。

2026 年 11 月 2 日至 3 日，[Google 威脅情報小組（GTIG）](https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet)聯同日本警察廳（NPA）及 [Plume](https://www.newswire.ca/news-releases/industry-takedown-of-botnet-hidden-in-more-than-1-3-million-tv-set-top-boxes-across-200-countries-817864283.html)、[TrendAI](https://www.trendaisecurity.com/en-us/resources-insights/trendai-security-blog/trendaitm-research-helps-disrupt-android-tv-botnet-of-more-than-13-million-pre-infected-devices)、[Lumen Black Lotus Labs](https://www.linkedin.com/pulse/xcpe-disrupting-key-power-source-proxy-botnet-operators-kix6e/)、HUMAN Security、[Synthient](https://synthient.com/blog/the-internals-of-a-badbox-operation)（聯同美國電影協會 MPA）展開七方跨國清剿行動，宣布搗破預載於逾 130 萬台（TrendAI 四個月控制頻道實測達 **1,472,554 台**）Android TV 機頂盒出廠韌體中的超級殭屍網絡 **XCPE**（套件名稱 `x.cpe` 或 `com.oemservice`），並同步透過法律行動接管逾 12 個下游惡意軟件家族的主控域名，連帶切斷犯罪集團對額外**至少 1,000 萬台**受感染設備的遙距控制。

假如中招的只是一批跨境電商平台上售數十美元的無牌白牌電視盒子，資訊保安界早已見怪不怪。真正擊穿業界信任底線的，是 Google 在官方報告中罕有地直接點名並永久封殺自家持牌認證合作夥伴——**深圳市視壯科技有限公司（Videostrong Technology Co., Ltd.）**。這家早於 2017 年便簽下 Google 官方認證協議、自報 2024 年營業額達 9,200 萬美元的正規 OEM/ODM 大廠，不但於自有零售品牌 **MECOOL** 與多國電訊營辦商貼牌硬件裏蓄意埋下後門長達六年，甚至連創維數字掛名代工的 Google TV 與 Netflix 雙認證機型 `MECOOL KM9PRO MAX` 亦一併拖下水。

更荒誕的黑色幽默還在後頭等着買家。過去幾年無數海外用家與各地硬件玩家不惜付出溢價認準「Google Certified」標誌，圖的就是正版系統乾淨可靠；然而視壯科技單靠「首次開機連網後延遲拉取載荷」便繞過了出廠認證測試，而認證規範強制燒錄硬件熔絲鎖死 Bootloader 的保安機制，反過來將受害者自行重刷開源系統自救的後路徹底封死。那枚代表平台官方背書的盾牌，最終淪為韌體木馬最堅固的防拆保護殼。

## 首次開機才露獠牙，持牌廠商如何繞過認證繳械 Play Protect

將時間線拉回過去三年便會明白，為何視壯科技案會在全球 Android 生態裏掀起如此劇烈的震盪。

由 2023 年 [Lemon Group](https://www.trendmicro.com/en_us/research/23/e/lemon-group-cybercriminal-businesses-built-on-preinfected-devices.html) 與初代 [BadBox](https://www.humansecurity.com/learn/blog/badbox-peachpit-and-the-fraudulent-device-in-your-delivery-box/)，到 2024 年奇安信 XLab 與 Dr.Web 接連揭發的 [Bigpanzi（大胖子）](https://blog.xlab.qianxin.com/bigpanzi-exposed-hidden-cyber-threat-behind-your-stb/)及日活近 160 萬台的 [Vo1d](https://blog.xlab.qianxin.com/long-live-the-vo1d_botnet/)，再到 2025 年感染突破 1,000 萬台、促使 Google 向紐約東區聯邦法院[入稟控告 25 名無名氏被告](https://blog.google/innovation-and-ai/technology/safety-security/google-taking-legal-action-against-the-badbox-20-botnet/)的 [BadBox 2.0](https://www.humansecurity.com/newsroom/human-exposes-badbox-2-0-scheme/)，Google 保安高層每一次對外定調的擋箭牌都高度一致——出事的全是未經認證的開源 AOSP 白牌設備，而通過 Play Protect 認證的正規硬件均經嚴格測試確保安全。

直到 2026 年 1 月，網絡保安初創公司 Synthient 在追蹤橫掃家居區域網絡的 [Kimwolf 殭屍網絡](https://krebsonsecurity.com/2026/01/the-kimwolf-botnet-is-stalking-your-local-network/)時，意外在異常流量池裏撞見大批頂着 Google 官方認證頭銜的 MECOOL 電視盒子。將近四年全球重大電視盒子預載後門與住宅代理清剿案放在同一張表裏，便能一眼看清這道防線是如何從內部被撕開的：

| 事件與惡意軟件家族 | 披露時間 | 核心參戰機構 | 感染規模口徑 | 是否攻破 Google 認證設備 | 核心駐留與變現特徵 |
| :--- | :--- | :--- | :--- | :--- | :--- |
| **Lemon Group (Guerrilla)** | 2023-05 | Trend Micro | 營運方自稱 **890 萬台** | 否（廉價白牌手機、手錶與非認證盒） | ROM 刷入 `Sloth` 載入器；劫持短訊驗證碼、反向代理與廣告插件 |
| **BadBox 1.0 & PEACHPIT** | 2023-10 | HUMAN、Google、Apple | 韌體 **7.4 萬台**；日均 **40 億次**虛假競價 | 否（跨境電商無品牌 AOSP 終端） | 預載 Triada 變種拉取隱藏廣告欺詐與住宅代理模組 |
| **Vo1d (1.0 / 2.0)** | 2024-09 / 2025-02 | Dr.Web、奇安信 XLab | 峰值日活 **1,590,299 台**（遍佈 226 國） | 否（老舊未認證 AOSP 7.1–12 盒子） | 駐留 `/system/xbin/vo1d` 與看門狗；PPI 分發、點擊欺詐與 SOCKS5 代理 |
| **BadBox 2.0** | 2025-03 / 2025-07 | HUMAN、Google、Trend Micro、FBI | 全球突破 **1,000 萬台**（222 國） | **否**（官方公開強調僅限非認證 AOSP） | 韌體預載與第三方應用程式市場重新封裝；紐約東區聯邦法院民事訴訟斷網 |
| **Kimwolf & IPIDEA 清剿** | 2026-01 | Synthient、GTIG、Lumen、Cloudflare | Kimwolf **約 200 萬台**；服務 **550+ 威脅集團** | 非認證為主（樣本池首現 MECOOL 異常線索） | DNS 重新綁定橫掃內網 `ADB :5555`；Google 查封 IPIDEA 旗下 13 個代理品牌 |
| **NetNut / Popa 清剿** | 2026-06 / 2026-07 | Synthient、GTIG、FBI、Lumen | 日活 **>200 萬個 IP**（關聯上市公司 Alarum） | 場外側載與白牌韌體靜默整合為主 | `io.popanet.Popa` 無彈出視窗靜默入網；FBI 與 Google 查封數百個 C2 域名 |
| **XCPE（深圳視壯科技）** | **2026-11** | **GTIG、日本警察廳、Plume、TrendAI、Lumen、HUMAN、Synthient (+MPA)** | 直控 **>130 萬台**（實測 **147.25 萬台**）+ 連帶切斷 **≥1,000 萬台** | **是（首次證實持牌認證 OEM 蓄意預載攻破 Google TV / Android TV 認證機型）** | 廠商自研 `x.cpe` + MQTT + `com.abc.nexus` 並行掛載多達 3 套代理與 PCDN；Google 首次永久封殺認證 OEM 及關聯方 |

一家需要將出廠韌體送交 Google 執行完整相容性與保安測試套件的持牌廠商，究竟是如何把木馬明目張膽地塞進 `/system/` 和 `/oem/` 唯讀分區的？

![展示 XCPE 由首次開機延遲觸發繞過 Google 認證、雙階段 HTTP 與 MQTT 通訊到二級引擎 com.abc.nexus 多租戶載入的三階段架構圖](https://afengblog.com/uploads/2026/11/ee12f90f9a4d69d0a039b389.webp "圖 1 · XCPE 延遲觸發繞過認證與三階段多租戶控制架構（技術細節依據 Google GTIG 報告與 Plume Security Labs 逆向白皮書整理）")

綜合 GTIG 主報告與 [Plume Security Labs 長達 55 頁的逆向工程白皮書](https://cdn.plume.com/3d/92/f7c576bd4afabd79df4e7b39ca7f/xcpe-botnet-whitepaper-10-2026.pdf)（研究團隊拆解了逾 150 份完整 Android TV 出廠韌體映像檔與 100 多個惡意樣本，詳見其公開 [IoC 指標庫](https://github.com/plume-design/security-labs/blob/master/2026-10-XCPE/xcpe.txt)），視壯科技使出的是一套精準卡住認證時間差的組合拳：

1. **首次開機連網後延遲啟動，直接繳械 Play Protect**：在 Google 上市前的自動化靜態掃描與常規實驗室測試窗口期，固化於唯讀分區裏的潛伏樁程式 `x.cpe`（或 `com.oemservice`）利用程式碼混淆保持靜默，表現得像一個無害的廠商系統服務。直到真實消費者把機頂盒買回家、完成首次開機啟動（first boot）並滿足連網條件後，後門才正式拉取後續惡意程式碼。啟動瞬間，擁有系統最高權限 `android.uid.system` 的 `x.cpe` 直接呼叫 `Settings.Global.putInt`，把系統全局校驗開關 `package_verifier_user_consent` 強行改寫為 `-1`（或執行遙距下發的 `google_protect_disable.txt` 指令稿），無聲無息地關掉內置的 **Google Play Protect** 保安防線，從此在後台靜默安裝任何 APK 都不會彈出半個警告視窗。
2. **雙階段加密引導與 45 萬並行連線的 EMQX 主控網**：設備上線後先讀取系統屬性 `ro.mecool.device`——若為 `true` 則預設連接 `http://mcstb.anyevonline.com:8000`（`mcstb` 即對應 MECOOL Set-Top Box），否則按系統版本拼接 `http://stb[AndroidVersion][Type].anyevonline.com:8000`，以 AES 加密上載設備序號、MAC 位址、型號與韌體版本，換取二階段 MQTT 代理參數、用於 NAT 穿透的 Google STUN 伺服器以及檔案回傳端點 `http://ott.szbboys.com:8000/cpe/file/upload`。隨後，全球百萬台機頂盒統一連入主控叢集 `mqtt.szbboys.com`（[APNIC 註冊紀錄](https://rdap.apnic.net/ip/219.134.163.210)顯示其解析至中國電信廣東深圳段 IP `219.134.163.210` 與 `219.134.163.211`，監聽非標準連接埠 `3885–3887`）。令人咋舌的是，營運者竟將後台 `:18083` 連接埠的 EMQX Prometheus 監控介面直接敞開在公網上——Plume 研究員於 2026 年 9 月 8 日隨手一抓，便拍下了 **450,585 個即時活躍 MQTT 連線工作階段**的鐵證快照（其中 `Anyevonline` 主叢集佔 424,108 個、歷史峰值高達 **554,464**，`YOKATV` 叢集佔 26,477 個）。
3. **不止轉售頻寬，更能即時偷窺客廳螢幕與接管遙控器**：在真實截獲的主控流量裏，GTIG 與 TrendAI 發現營運者手握遠超普通代理木馬的侵入式權限。除了靜默裝卸商業插件，`x.cpe` 支援透過反射呼叫 Android 隱藏介面 `SurfaceControl.screenshot` **連續即時擷取電視畫面並壓縮回傳**，呼叫 `sendKeyDownUpSync()` 遙距注入遙控器按鍵指令，以系統權限隨時開啟反向 Shell，掃描收集家居周邊的 Wi-Fi SSID/BSSID 與藍牙設備清單，甚至直接打包上載設備裏的帳戶資訊與系統日誌。
4. **六年四代架構對抗與「黑吃黑」清場**：Synthient 樣本庫中最早的 `x.cpe` 樣本（`v3.6.5`）可一直追溯至 **2020 年 12 月 14 日**。六年裏它完成了四輪脫胎換骨的迭代——由 2021 年前後第一代 HTTP 輪詢裝包，升級至第二代 EMQX 長連線配搭無簽章校驗的 `VSOTAUpgrade`（`com.droidlogic.vsota`）與硬編碼 SSH 私鑰的 `DebugTool`（`com.yk.debugtools`）；2024 年底（恰逢 Google 重拳打擊初代 BadBox 之後），視壯科技將變現邏輯徹底剝離至二級執行載入器 **`com.abc.nexus`**，不但塞入原生程式庫 `libseccomp_guard.so` 利用 seccomp 系統呼叫過濾封殺跨進程 `ptrace` 與 Frida 動態插樁，更在程式碼裏硬編碼了一份包含 **81 至約 90 個套件名稱的同行卸載黑名單**，一上線便先把 `CECbot` 等競爭對手的木馬靜默移除乾淨，確保自家獨佔家居寬頻。到了 2026 年 8 至 9 月，察覺風聲收緊的營運者又透過 MQTT 全網批量移除 `com.abc.nexus`，換裝偽裝成 `com.android.system.ntp` 的提權投遞器（呼叫 `libexploit.so` 重新掛載 `/system/priv-app/` 並利用 `persist.networkstack.install_time` 偽造原廠時間戳記），甚至在 9 月底祭出純 C++ 原生 ELF 駐留木馬 **`dw` / `dw1`**（連接備用主控 `webnest.columbus2024.com`）以及針對全志 Allwinner H616 晶片直接竄改核心記憶體強關 SELinux 的提權模組 `com.codex.h616probe`。

正如 GTIG 瓦解行動負責人 Charley Snyder 在接受 *[CyberScoop](https://cyberscoop.com/google-disrupts-xcpe-botnet-videostrong-android-devices/)* 專訪時所承認：

> "The XCPE operators constantly evolved its configurations to evade Google's pre and post-launch detections."
> （XCPE 的營運者不斷演進其配置，以規避 Google 在設備上市前及上市後的保安檢測。）

## 主控開放目錄裏的親筆簽名，鎖定深圳寶安與雙軌代工染毒鏈

以往遇上預載木馬醜聞，硬件廠商最熟練的公關劇本無非兩套，要麼推給「個別外判程式員私自夾帶私貨」，要麼推卸責任予「上游不知名的第三方韌體方案商」。但這一次，Google 在官方通報中以最高級別的措辭徹底堵死了所有開脫空間：

> "We assess with high confidence that the backdoor and botnet were intentionally developed, deployed, and operated for financial gain by Videostrong Technology Co., an Android Original Equipment Manufacturer (OEM) and Original Design Manufacturer (ODM). ... We believe this campaign wasn't an isolated rogue insider or a development oversight. As a result, Google has cut ties with Videostrong and banned them from making devices with preloaded Google apps."
> （我們高度確信，該後門與殭屍網絡是由 Android 原始設備製造商兼原始設計製造商視壯科技出於經濟利益蓄意開發、部署並營運的。……我們認為此次活動並非孤立的違規內鬼行為或開發疏忽。因此，Google 已切斷與視壯科技的合作，並禁止其製造預載 Google 應用程式的設備。）

令保安團隊敢於直接把責任釘死在公司法人頭上的，是一組荒誕得近乎喜劇的數碼鑑證物證。

![Synthient 在主控同域開放目錄截獲由深圳視壯科技研發總監 Owen Cao 於 2024 年 11 月 26 日親筆簽署的歐盟無線電設備指令符合性聲明原件](https://afengblog.com/uploads/2026/11/62d3e7871819a60dee960bfb.webp "圖 2 · Synthient 研究員在 XCPE 核心分發伺服器開放目錄 file.anyevonline.com 連接埠 8000 的 pdf 路徑下直接提取的歐盟合規聲明掃描件，製造商地址與研發總監親筆簽名一覽無遺（圖源 Synthient Research Team）")

Synthient 研究人員在順藤摸瓜排查 XCPE 一階段主控同域伺服器時，發現 `file.anyevonline.com:8000/pdf` 竟然開啟了未授權目錄瀏覽。點進去一看，裏面赫然躺着一份簽署於 **2024 年 11 月 26 日**的歐盟無線電設備指令（RED `2014/53/EU`）符合性聲明掃描原件——製造商一欄清清楚楚印着 **`Videostrong Technology Co.,Ltd`**，地址精確至深圳市寶安區新安街道 28 區陸氏工業大廈東座 6 樓（與[視壯科技中文官網簡介頁](https://www.videostrong.com/cn-about-10)及美國聯邦通訊委員會 [FCC 備案代碼 `2AGKB`](https://fccid.io/2AGKB) 登記的 `606` 室分毫不差），授權簽署人一欄則留着視壯科技研發總監 **`Owen.Cao`（`OWEN-CAO, R&D Director`）**的親筆手寫簽名。

配合這份「把身份證留在犯案現場」的鐵證，另外三重技術線索更是環環相扣：

* **官網與主控後台共用同一 IP**：Synthient 核查解析紀錄證實，視壯科技官方域名 `videostrong.cn` 與殭屍網絡營運者主管理面板 `mqtt.anyevonline.com` 直接指向同一個伺服器 IP 位址；
* **企業電郵簽章與實名程式碼庫**：多個 OTA 升級包與後門組件的開發者簽章憑證內直接寫着 `@videostrong.com` 企業電郵，而用於託管惡意指令稿與二階段載荷的 11 個被封鎖 GitHub 帳戶中，就有直接以公司與員工命名的 `github.com/yf-videostrong/` 和 `github.com/vspeng/`；
* **拼音縮寫渠道號與官方業務時間線完全吻合**：在 GTIG 截獲的 MQTT 插件下發配置裏，點心雲模組的渠道歸屬欄位直接標為 **`"libChannel": "SZKJ"`**（即「視壯科技」普通話拼音首字母）；翻開視壯科技官網的發展大事記，該公司自述 **2017 年**簽署 Google TADA 認證協議，緊接着於 **2018 年**面向全產品線部署自研雲端「終端管理系統（TMS）」——這恰好與早期惡意控制域名 `*tms.szbboys.com` 的命名完全呼應。

![展示深圳視壯科技自產與借道創維數字及中興雙軌代工染毒路徑、命中 188 款型號及四重物證封殺鏈的供應鏈圖譜](https://afengblog.com/uploads/2026/11/e91b6c9f6c988b6d1ee1b1ea.webp "圖 3 · 深圳視壯科技雙軌代工交叉污染與四重歸因封殺鏈，無牌照自產線、借道持牌大廠掛名製造的雙認證線以及多國電訊營辦商貼牌終端均在出廠韌體層被統一植入後門")

更值得警惕的是視壯科技自有品牌 **MECOOL**（及關聯白牌商城 YOKATV）背後的「雙軌代工」污染機制。

查閱業界權威數據庫 [Android TV Guide 的視壯科技檔案](https://www.androidtv-guide.com/oem/videostrong/)可見，由於視壯科技自身並未取得 Netflix 官方嚴苛的 Hailstorm 硬件認證牌照，其產品線長期分為兩條軌道運作：不含 Netflix 認證的機型（如 `KM1`、`KM3`、`KM6`、`KM7`、`KM8`、`KM9 Pro`、`KT1`、`KD1`、`KD2`、`KA1`、`KA2`）由視壯自家工廠生產；而真正主攻歐美主流市場、主打 **Google TV + Netflix 雙官方認證**的明星機型，則交由手握牌照的**創維數字（Skyworth Digital，代號 `HP4...` / `HPR...`，涵蓋 `KM2`、`KM2 Plus`、`KM2 Plus Deluxe`、`KM7 Plus`、`KM9PRO MAX`、`KS3`、`KD3`、`KD5`、`MEgo1`、`MEon1`）**或**中興（ZTE，代工 `KT2`）**掛名硬件製造。

借大廠牌照代工的機型能倖免嗎？答案是否定的。Synthient 聯同美國電影協會（MPA）從正規零售渠道買回拆解的基準樣機，正是搭載 Realtek RTD1325 晶片、執行 Google TV（Android 12）的雙認證旗艦款 **[`MECOOL KM9PRO MAX`](https://www.androidtv-guide.com/streaming-gaming/mecool-km9pro-max/)**。儘管其系統屬性寫着 `Manufacturer: SkyworthDigital`，但真機韌體拆解證實，裏面分毫不差地預載了由 `Skyworth Digital Technology` 密鑰簽章的 `com.oemservice`（`x.cpe`）後門與 `com.abc.nexus` 載入器（需要客觀說明的是，七方調查報告均未指控創維數字或中興參與營運 XCPE，目前 `Skyworth` 仍正常保留在 [Google 官方認證夥伴名錄](https://www.android.com/certified/partners/)中，而 `Videostrong` 與 `MECOOL` 已被徹底除名）。

除了 MECOOL 全系淪陷，比對 [Synthient 公開的 188 個受感染 `ro.product.model` 型號清單](https://github.com/synthient/public-research/blob/main/2026/11/Videostrong/README.md)，視壯科技的 ODM 貼牌業務更把戰火燒遍全球多國電訊營辦商與零售商——泰國收費電視巨頭 **GMM Z** 的 `DongleTV1`、日本共同電視（KYODO TV）關聯品牌的卡拉 OK Soundbar 條形音箱一體機 **`KARAxKARA`（`KARA-A2023`）**、俄羅斯電訊商 **MegaFon** 的 `KM8-ATV-MF`，以及墨西哥大型電子零售商 **Steren** 的 `INTV-ASIST` 悉數中招。

封殺令落地的速度堪稱窒息。Google 不但永久吊銷了視壯科技及其未來任何附屬公司、關聯實體的 Android 認證資格，更明令禁止其向任何其他認證廠商提供軟件組件。截至 2026 年 11 月 3 日，實測抓取 [`mecool.com` 官方商城商品庫存介面](https://www.mecool.com/products.json?limit=250)顯示，全站 **40 款商品中有 39 款（97.5%，涵蓋全部機頂盒、電視棒與投影機）已一夜之間批量變更為 `available: false` 停售斷貨**，只剩 1 款通用無線小鍵盤孤零零掛在架上；曾在 2023 年影片裏評測提及 MECOOL 的頂流科技頻道 Linus Tech Tips，亦在第一時間由主創 James Strieb 於 [Reddit 實名發聲割席](https://www.reddit.com/r/LinusTechTips/comments/1xm52q9/ltt_promoted_a_malicious_android_tv_box/)，連夜進入後台為原片加上「惡意軟件騙局」警示並清空全部購買連結。

## 一台盒子同時替三家代理商打工，由獨角獸到網銀盜款跳板的寄生賬本

一家自報年營收 9,200 萬美元、擁有 90 多名研發工程師、直到封殺前一個月的 **2026 年 9 月 28 日**仍有新款設備 `2AGKB-AIR` 獲批 FCC 認證的成熟硬件廠，為何要冒着滅頂之災在出廠韌體裏從事黑灰產？

算一筆賬便明白了。外貿機頂盒與貼牌代工早已內捲成利潤薄如刀片的紅海，賣一台硬件只能賺取一次性微薄加工費；但一旦將全球百萬個家庭客廳裏長開的設備變成按流量和時數收費的**住宅代理（Residential Proxy）出口節點與邊緣算力傀儡機**，這家代工廠便瞬間轉型成穩賺不賠的「全球家居寬頻包租公」。

在拆解這條地下變現鏈之前，有必要先釐清各家保安報告裏看似不同的幾組規模數字——它們並非相互矛盾，而是同一頭巨獸在不同觀測切面下的真實體量：

* **`>130 萬台`（聯盟共識下限）與 `1,472,554 台`（TrendAI 四個月實測）**：七方聯合新聞稿採用跨平台去重後的保守下限「逾 130 萬台（覆蓋超過 200 個國家和地區）」；而 TrendAI 於 2026 年 6 月 3 日至 10 月 1 日的四個月抽樣窗口內，在 170 多個國家的 206 款機型上實測截獲 **1,472,554 台受感染設備**（其中約 **133 萬台**被排程執行代理與欺詐模組）、記錄逾 **23.6 億條 MQTT 控制訊息**，並累計提取出多達 **3,849,226 個獨立家居與流動寬頻公網出口 IP**（日均可用逾 18.2 萬個，單日峰值 36.65 萬個）。Synthient 行政總裁 Benjamin Brundage 向 *[KrebsOnSecurity](https://krebsonsecurity.com/2026/11/tech-firms-dismantle-botnet-that-turned-1-3m-tv-boxes-into-proxies/)* 直言，考慮到六年累計出貨基數，「受影響設備的真實規模很可能要高得多，這大概是我們迄今見過針對預載後門電視盒子的最大規模打擊行動」。
* **`≥1,000 萬台`（連帶阻斷的下游生態規模）**：借道視壯科技後門買流量的逾 12 個下游惡意軟件與代理家族，同時亦在其他白牌設備與側載渠道裏養着龐大的節點池。Google 今次透過法律程序將這批下游家族的 C2 域名一舉搗破，直接切斷了犯罪集團對額外**至少 1,000 萬台**其他受感染設備的存取通道。

![Google 威脅情報小組發布的全球 x.cpe 殭屍網絡感染分佈分級設色世界地圖，深藍色集中於馬來西亞、伊拉克與巴西，中國內地呈淺灰色](https://afengblog.com/uploads/2026/11/09ce7f1dc08a6f3e1868c12b.webp "圖 4 · Google GTIG 披露的全球 x.cpe 感染密度分佈圖，重災區集中於東南亞、南美、中東與歐美外貿零售市場，中國內地呈未着色的淺灰色（圖源 Google Threat Intelligence Group）")

對照 GTIG 發布的全球分佈圖與 TrendAI 的精確國別統計，視壯科技「專攻出海與跨境市場」的出貨結構一目了然：受感染設備排名前五的地區依次為**馬來西亞（`300,390` 台，斷層居首）**、**巴西（`150,080` 台）**、**伊拉克（`124,298` 台）**、**墨西哥（`94,588` 台）**與**中國台灣（`88,350` 台）**；歐美與亞太成熟市場同樣未能倖免，其中美國 `43,871` 台、德國 `39,065` 台、英國 `29,489` 台、中國香港 `27,669` 台。

為了榨乾每一台客廳傀儡機的剩餘價值，同時又不讓觀看 4K 影片的用家因畫面卡頓而起疑，視壯科技在後台寫出了一套極其老練的調度邏輯：

![拆解單台受感染電視盒子並行掛載 3 套住宅代理 SDK、70% CPU 隱身門檻以及下游商業代理、點心雲 AI 閘道器與日本網上銀行盜款跳板的生態圖](https://afengblog.com/uploads/2026/11/e5a557caf03a2964a70ba1f9.webp "圖 5 · 單機並行三掛的隱身壓榨策略與下游利益共生網，由估值 36 億美元的商業代理獨角獸到日本 30 億日圓網上銀行盜款跳板")

GTIG 逆向分析發現，視壯科技在**單台電視盒子上最多同時並行執行 3 套同質化的住宅代理 SDK**，按全球 6 個時區伺服器池（`Pool1`–`Pool6`）分流轉售頻寬；與此同時，MQTT 下發的 `ext/lib/config` 策略專門劃定了硬件資源紅線——例如將點心雲模組的 **CPU 佔用率嚴格鎖定在 `70%` 以內、記憶體上限卡在 `50%`、磁碟讀寫限制在 `5000`**。只要機頂盒不死機、看劇不轉圈緩衝，絕大部分家庭縱使路由器後台每天暗中跑掉數十 GB 陌生流量亦根本毫無察覺。

而順着 `com.abc.nexus` 拉取的 13 款下游變現模組往上追查，一整批平日在歐美科技界西裝筆挺、滿口「合規道德採集（ethical sourcing）」的商業數據獨角獸與上市公司紛紛現出原形：

* **估值 36 億美元獨角獸旗下的 `AppSalt / Honeygain`**：程式碼逆向分析當場逮個正着——該模組從 `libnative_keys.so` 讀取密鑰後，**跳過一切用家知情同意彈出視窗，直接呼叫 `optIn()` 強制把家居寬頻靜默拉入代理網**；更心虛的是，它在啟動時專門檢查安裝來源，一旦發現自己是從官方 Google Play 商店安裝便立即終止退出，專門規避應用程式商店的合規審查。KrebsOnSecurity 指出，Honeygain 的立陶宛母公司 **Oxylabs** 剛於 2026 年 10 月獲得華平投資（Warburg Pincus）領投的 1.3 億美元巨額融資，頂着 **36 億美元估值**風光改名為 **Source**，面對傳媒查詢至今一言不發。
* **屢遭清剿又借屍還魂的跨國代理巨頭**：Lumen Black Lotus Labs 的骨幹網遙測揭出驚人的寄生規模——利用 ARM NEON 指令加速 ChaCha20 加密隧道的 **Jaguar** 代理模組全球日活近 **200 萬個受害 IP**，在今年 1 月 Google 搗破全球最大代理網 [IPIDEA](https://cloud.google.com/blog/topics/threat-intelligence/disrupting-largest-residential-proxy-network) 後，正是靠着視壯科技的韌體預載迅速回血；知名商業代理品牌 **SOAX**（日均 80 萬、峰值近 130 萬受害 IP）的子域名伺服器，直接掛着今次被 Google 扣押凍結的 XCPE 關聯域名 [`emkmoh.com`](https://rdap.verisign.com/com/v1/domain/emkmoh.com) 的 TLS 憑證；**HailiangIP（海量 IP，峰值逾 100 萬受害 IP）**靠另一枚被封鎖域名 [`io.pyuio.com:8700`](https://rdap.verisign.com/com/v1/domain/pyuio.com) 引導新節點；`GaGaNode` 則像俄羅斯套娃般鏈式拉起 `EarnFM`（日均近 60 萬 IP）以及關聯以色列納斯達克上市公司 Alarum（NetNut 母公司）的 **[PopaNet](https://krebsonsecurity.com/2026/06/popa-botnet-linked-to-publicly-traded-israeli-firm/)**——後者明明在今年 7 月剛遭 [FBI 與 Google 聯合清剿](https://cloud.google.com/blog/topics/threat-intelligence/google-continued-disruption-residential-proxy-networks)，轉頭又在電視盒子韌體裏死灰復燃。此外，視壯科技還專門訂製分發了當紅去中心化 AI 爬蟲代理項目 **Grass** 的客戶端 `com.vs.grass`（直接戳破了 Grass 創辦人去年公開聲稱「與任何電視盒子廠商毫無關聯」的表態）。
* **內地 PCDN 與搖身一變的 `DianxinAI` 邊緣閘道器**：在頻寬變現一側，[北京領霧科技](https://apps.apple.com/cn/app/%E7%82%B9%E5%BF%83%E4%BA%91/id1611385033)旗下的**點心雲（Linkfog）**釋放 Go 原生程式 `lw_android_agent`，透過 FRP 反向隧道將海外與港澳台家居電視盒子變成 PCDN 節點；TrendAI 更揭露點心雲旗下正營運名為 **`DianxinAI`** 的邊緣連接型負載均衡 AI API 閘道器，直接把靜默劫持的住宅寬頻包裝成大模型介面轉發與邊緣算力資源出售。同處一室的還有 `TitanNet`、`Traffmonetizer`，以及靠隱藏 WebView 在後台無聲刷廣告點擊的 `Moyu`、`Bird`、`Fission` 與 `HiddenView`。

GTIG 在報告中罕有地撕下了整個商業住宅代理行業的遮羞布：

> "Residential proxy providers have been able to flourish under the guise of legitimate businesses. While some providers may claim to behave ethically and only enroll devices with the clear consent of consumers, any claims of 'ethical sourcing' must be backed by transparent, auditable proof of user consent. In our analysis, these proxy operators only seek consent when they are forced due to platform policy and enforcement. Silent opt-in without user consent remains the most prevalent means by which devices are turned into exit nodes."
> （住宅代理供應商一直得以披着合法商業外衣大肆擴張。儘管部分供應商聲稱其行為合乎道德、僅在獲得消費者明確同意後才將設備納入網絡，但任何關於「道德採集」的宣稱都必須有透明、可審計的用家同意證據作為支撐。在我們的分析中，這些代理營運方只有在迫於平台政策與執法壓力時才會徵求同意。未經用家同意的靜默入網，依然是將設備轉化為出口節點最普遍的手段。）

千萬不要以為機頂盒被掛上代理只是「家裏網速慢一點」的小事。當不法分子花幾美元租下你家的真實寬頻出口 IP，你家的路由器在銀行、政府網站與電商風控系統眼裏，便成了洗白黑客流量的「本地良民身份證」。

這正是**日本警察廳（NPA）**今次作為全球唯一公開具名的國家級執法機關直接落場參戰的原因。根據日本警察廳聯同總務省、情報通信研究機構（NICT）發布的[官方執法通報](https://www.npa.go.jp/bureau/cyber/koho/news/residentialproxy.html)與《[網絡警察局通訊](https://www.npa.go.jp/bureau/cyber/pdf/R8_Vol.9cpal.pdf)》，令和 6 年（2024 年）日本全國發生的 4,369 宗網上銀行非法轉帳大案中，多達 **1,918 宗（佔比約 44%）**都是境外黑客藉由日本家庭廉價電視機頂盒組成的住宅代理跳板實施的：

> 「このような踏み台となるIoT機器は「レジデンシャルプロキシ」と呼ばれ、令和６年にはインターネットバンキングに係る不正送金事犯の被害額のうち少なくとも約30億円がこれらを経由した攻撃により生じたものであることが判明しています。」
> （此類淪為攻擊跳板的 IoT 設備被稱為「住宅代理」，現已查明，令和 6 年網上銀行非法轉帳案件的損失金額中，至少約 30 億日圓是由經由這類設備中繼的攻擊所造成的。）

為了斬斷這條跳板鏈，日本警察廳於 2026 年 9 月專門召集成立了「[住宅代理對策聯盟](https://www.npa.go.jp/bureau/cyber/what-we-do/alliance.html)」。而在協調世界時 **2026 年 10 月 30 日**，跨國斷網收網行動正式打響（註：截至 11 月 3 日，Google 發起域名扣押的具體美國聯邦法院民事訴訟案號尚處密封期未公開解封）——Verisign 頂級註冊局原始 RDAP 檔案記錄下精準至秒的雷霆凍結：視壯科技註冊於阿里雲（萬網）名下的兩枚核心主控域名 [`anyevonline.com`](https://rdap.verisign.com/com/v1/domain/anyevonline.com) 與 [`szbboys.com`](https://rdap.verisign.com/com/v1/domain/szbboys.com)，分別於當日 **`06:18:11Z` 與 `06:18:14Z`**（前後僅差 **3 秒**）被同步置為 `clientHold` 凍結狀態，DNS 直接傳回 `NXDOMAIN`；數小時後，GoDaddy 名下的 [`pyuio.com`](https://rdap.verisign.com/com/v1/domain/pyuio.com)（`13:14:38Z`）與 Cloudflare 名下的 [`emkmoh.com`](https://rdap.verisign.com/com/v1/domain/emkmoh.com)（`16:53:06Z`）應聲斷網，Lumen Black Lotus Labs 則同步在全球一級骨幹網對關聯代理伺服器實施空路由黑洞阻斷。

## 鎖死 Bootloader 封死自救退路，為何切斷主控後仍須棄置硬件

主控域名被凍結、伺服器被封鎖之後，目前海外數碼圈出現了兩種極其危險的樂觀錯覺。

第一種錯覺以 *[9to5Google](https://9to5google.com/2026/11/02/google-android-tv-box-backdoor-shut-down/)* 的報道為代表，認為既然 Google 已經搗破了下發惡意模組的 C2 域名，消費者手裏的認證電視盒子「應該可以安全繼續使用」。對此，參戰的 TrendAI、Synthient 以及 *[Android Authority](https://www.androidauthority.com/android-tv-box-maker-google-botnet-malware-3730930/)*、*[Android Central](https://www.androidcentral.com/streaming-tv/google-takes-down-a-massive-android-tv-botnet-but-infected-devices-remain-dangerous)* 發出了截然相反的嚴正警告——**涉事設備依然高度危險，唯一安全的處置方式是立即拔除網絡線、永久棄置硬件，並更改所有曾在盒子裏登入過的帳戶密碼**。

TrendAI 在技術報告裏把底層死結剖析得非常透徹：

> "Owners cannot remove the implant themselves. It runs as a system app signed with the manufacturer's key, so cleanup needs vendor action, platform protection or replacement of the device."
> （設備擁有者無法自行清除該植入程式。它以製造商密鑰簽章的系統應用程式身份執行，因此清理工作必須依賴廠商行動、平台級防護或直接更換設備。）

雲端打掉一批域名，根本動不了焊死在本地唯讀 `/system/` 和 `/oem/` 分區裏的後門母體。就算你在設定選單裏按十次「重設為原廠設定」，清空的亦只是 `/data/` 用戶分區，重新開機瞬間 `BootReceiver` 又會從 `/oem/` 將木馬原封不動裝回來；更何況 Plume 已經截獲今年 9 月底上線的第四代純 C++ 木馬 `dw1` 早已切換至仍然活躍的備用域名體系，加上不少機器的 Play Protect 與核心級 SELinux 防線早已被徹底破壞，留在家居區域網絡裏無異於一顆隨時可能被二次接管的計時炸彈。

第二種錯覺則在海內外極客與二手硬件玩家圈子裏流傳甚廣——「外貿盒子買回來別用原廠系統，自己刷個開源乾淨的 CoreELEC 或 Armbian 不就解決了嗎？」

放在五年前的老舊 AOSP 公版盒子上，這話或許成立；但放在今次重災區的 MECOOL 正版認證盒子上，這條路早已被徹底封死。

![解析 Google 認證鎖死 Bootloader 導致無法刷入 CoreELEC 自救的困局及家居網絡四步免 Root 排查流程圖](https://afengblog.com/uploads/2026/11/64fa229b2ab44b1a8a6e82a0.webp "圖 6 · 認證鎖死 Bootloader 的自救死局與家居網絡四步免 Root 排查流程")

這恰恰是整宗事件最令 [Reddit](https://www.reddit.com/r/GoogleTV/comments/1xm6aqk/wtf_this_is_the_reason_why_mecool_is_out_of/) 與 [Hacker News 開發者社群](https://news.ycombinator.com/item?id=50345977)憤怒的制度性諷刺：為了符合 Google 官方認證與 Netflix Widevine L1 高清版權保護的強制規範，`MECOOL KM2`、`KM2 Plus`、`KM7 Plus`、`KM9PRO MAX`、`KT2`、`KD1–KD5` 等正規認證機型在出廠前便已經**物理燒錄硬件熔絲（eFuse）啟用安全啟動（Secure Boot），並永久加密鎖死 Bootloader**。硬件底層只認廠商手裏的私鑰簽章，任何外部開源核心或第三方系統一律拒絕引導——[CoreELEC 官方社群維護者](https://discourse.coreelec.org/t/widevine-manual-installation/18810)與[買家實測帖](https://discourse.coreelec.org/t/coreelec-on-mecool-km2-plus/20356)早在兩三年前便已確認，認證版 MECOOL 根本不可能刷入 CoreELEC，而新款 `KM9PRO MAX` 採用的瑞昱 Realtek RTD1325 晶片更是連主線開源驅動程式支援都沒有。

一邊在 2026 年以「保護用家安全」為由步步收緊普通 Android 用家的應用程式側載（Sideloading）權限，另一邊既未能在出廠審查時攔住持牌 OEM 的韌體木馬，更令獨立保安研究員 Ethan Nelson-Moore 在 Hacker News 實名批評「手頭正分析另一批在售認證手機平板預載 Triada 木馬，卻連向 Google 順暢通報的渠道都找不到」；等到東窗事發，廠商下架商品一走了之，被鎖死 Bootloader 的上百萬台正版硬件除了淪為電子垃圾，連重裝乾淨系統搶救一下的權利都被剝奪殆盡。

### 華語圈玩家關心的三個外圍連帶疑問

事件發酵後，中文社群不少用過電視盒子和智能電視的讀者亦對自家的設備捏了一把汗。結合一手備案與取證清單，可以把最集中的三個疑問一併釐清：

1. **外貿神機 `X96 Max` 更新後跑滿上載頻寬，是不是視壯科技所為？** 並非同一家廠商。查閱美國 FCC 無線電認證原始檔案可知，正牌 `X96 Max`（及 `X96 Mini`、`X96 X4`）的製造商是**深圳市賽倫特科技有限公司（Shenzhen Amediatech，[FCC 代碼 `2AI6D`](https://fccid.io/2AI6D-X96MAX/User-Manual/15-X96-Max-UserMan-4104889)）**，與視壯科技（`2AGKB`）並無股權關聯，亦不在今次 XCPE 的 188 個感染型號清單中。不過不少外貿 AOSP 盒子在系統 OTA 或第三方改包裏暗塞內地商業 PCDN 導致上載連線數飆升至數萬，確實屬同源的行業頑疾。
2. **Apple TV、國行主流盒子、電訊商 IPTV 和斐訊 N1 受影響嗎？** 封閉生態的 Apple TV、未刷機的內地國行正規零售盒子（小米盒子、天貓魔盒、當貝、騰訊極光）以及內地三大電訊商原廠未改裝的寬頻 IPTV 機頂盒，均不受今次事件影響。**唯一的例外陷阱在二手刷機圈**——Synthient 的真實受感染名單裏赫然出現了內地常見的電訊商機頂盒型號 **`E900V22C`** 與 `TX3MINI`，根源在於部分閒魚「電訊商盒子改全網通原生 Android TV 刷機包」直接提取移植了同款晶晨 Amlogic 晶片的 MECOOL 韌體底包，將後門原封不動搬了進來。同理，斐訊 N1 若刷入開源社群透明編譯的 OpenWrt、Armbian 或 CoreELEC 則完全安全，但若曾刷入來源不明的 MECOOL 移植版電視韌體則務必排查。
3. **近期頻頻被提及的「Samsung 電視監聽截圖風波」又是怎麼回事？** 那是 2026 年 10 月引爆的另一條智能大螢幕私隱戰線——10 月 6 日美國加州北區聯邦法院受理集體訴訟（*Tillery v. Samsung*，[案號 `3:26-cv-11448`](https://www.claimdepot.com/cases/samsung-smart-tv-lawsuit-alleges-secret-acr-surveillance-of-73-million-viewers)），指控三星（Samsung）電視內置自動內容識別（ACR）以約每秒 2 次的高頻對包括外接 HDMI 電腦與遊戲機在內的畫面擷圖分析，波及全美約 7,300 萬觀眾；10 月下旬又有研究員聲稱在 2025 款三星 Tizen 韌體裏發現無麥克風機型主動搜尋外接 Soundbar 條形音箱麥克風收音（[Malwarebytes 報道](https://www.malwarebytes.com/blog/privacy/2026/10/samsung-tvs-without-mics-may-listen-through-soundbars-researcher-says)註明該單一來源逆向說法尚待獨立第三方完整重現）。雖然性質屬於商業越界收集而非黑灰產殭屍網絡，但同樣敲響了客廳大螢幕設備的私隱警鐘。

### 家居網絡四步免 Root 快速排查法

如果你家裏正在使用跨境網購的 Android TV 盒子、外貿電視棒或刷過官改韌體的二手盒子，無需拆機亦不用取得 Root 權限，開啟盒子的「開發人員選項」連接電腦 `adb`，配合路由器後台便能在五分鐘內完成精準驗身：

```bash
# 1. 核對設備型號與 MECOOL 專屬系統屬性（命中 MECOOL 或 188 款涉事型號即屬高危）
adb shell getprop ro.product.model
adb shell getprop ro.mecool.device

# 2. 檢索唯讀韌體與系統套件清單是否包含歷代 XCPE 後門與載入器套件名稱
adb shell "pm list packages -f | grep -Ei 'x\.cpe|oemservice|abc\.nexus|vs\.grass|system\.ntp|sso\.auth|vsota|debugtools'"

# 3. 查驗 Google Play Protect 全局校驗開關（從未手動關閉卻傳回 -1 即已被竄改）
adb shell settings get global package_verifier_user_consent
```

第四步則是打開家裏的軟路由、OpenWrt、AdGuard Home 或 Pi-hole 查詢日誌，檢索這台盒子的內網 IP 是否曾週期性請求 `*.anyevonline.com`、`*.szbboys.com`、`*.yokatvonline.com`、`webnest.columbus2024.com`、`webnest.linkfog.cn`、`connect.sdk.absolut.fit`，或持續嘗試向外網發起 TCP `3885–3887` 連接埠連線。即使相關主控域名已被註冊局凍結傳回 `NXDOMAIN`，殘留後門依然會像幽靈般不斷發起重新連線試探——一旦命中上述任一指標，請直接斷電拔線，切勿抱持任何「靠防火牆攔住域名將就繼續用」的僥倖心理。

## 當植入後門的代工廠帶着鏡頭轉向 AI 陪伴機械人

如果故事只停留在 MECOOL 商城停擺和百餘萬台電視盒子報廢，這充其量只是一宗傳統機頂盒代工廠的自毀公案。真正令人背脊發涼的伏線，藏在視壯科技如今對外展示的新名片裏。

![Synthient 取證保存的深圳視壯科技英文官網首頁截圖，畫面展示一家老少圍觀紫色雙輪 AI 寵物陪伴機械人並標明一站式 AI 陪伴機械人 OEM 與 ODM 合作夥伴](https://afengblog.com/uploads/2026/11/1a9f2519ba832357e02008af.webp "圖 7 · 視壯科技官網已全面改版轉型為一站式 AI 陪伴與長者看護機械人 OEM 及 ODM 合作夥伴（圖源 Synthient 取證存檔 / Videostrong.com）")

現在打開[視壯科技中文官網](https://www.videostrong.com/cn)與英文門戶網站，昔日主打的機頂盒早已退居次席，首頁最當眼的位置已全面換成**「陪伴機械人 OEM/ODM 廠家｜寵物·家庭·養老陪伴機械人訂製」**。公開專利檔案顯示，該公司已於 2025 年 8 月取得國家發明專利《[一種基於養老機器人的健康監測方法及其養老機器人](https://www.163.com/dy/article/K7143D870519QIKK.html)》（`CN118969200B`），目前面向全球貼牌客戶主推內置 1080P 紅外線夜視鏡頭與全屋移動巡航監控功能的 [`PCR03` 輪式 AI 寵物陪伴機械人](https://www.videostrong.com/products-show/PCR03-ai-pet-robot)、8 核心 RISC-V 仿生機械狗、基於樂鑫 `ESP32-S3` 接入雲端大模型的桌面語音陪伴機械人，以及地平線旭日 5（10 TOPS）邊緣開發板 `VS-DX5`。

實事求是地說，截至 2026 年 11 月 3 日，尚無獨立保安機構針對其 2026 年新款 `PCR03` 移動寵物機械人或非 Android 架構的 `ESP32-S3` 桌面機械人發布過拆機檢出後門的報告，我們不能在缺乏二進制實證前將新款機械人直接等同於已染毒設備。

但同樣白紙黑字寫進一手取證檔案裏的事實是，視壯科技此前推向市場的智慧安老遙距醫療閘道器 **[`HC1`（`AI Home Care Hub`）](https://www.videostrong.com/products-show/hc1-home-care-hub)**——一款專門連接長者血壓計、血糖儀、跌倒偵測雷達並承擔電視端遙距醫療視像問診的康養中樞——以及內置 100° 廣角高清鏡頭與 5 米遠場雙麥克風陣列的視像通話機頂盒 **[`KA2`（`MECOOL NOW`）](https://www.videostrong.com/products-show/Camera-Smart-Box-KA2)**，**雙雙明確出現在 Synthient 公布的 XCPE 殭屍網絡真實感染型號清單中**。這亦直接印證了 GTIG 報告開篇那句看似不起眼的警告——除機頂盒外，後門同樣出現在「遙距醫療設備、卡拉 OK 機與數碼標牌」裏。

過去，一台放在電視櫃角落裏的機頂盒被植入後門，最壞的結果是替黑灰產轉發網上銀行盜款流量、被擷取電視螢幕畫面或是掃走家裏的 Wi-Fi 清單；而今天，同一條習慣將出廠韌體當成售後收租管道的 ODM 供應鏈，正帶着高清夜視鏡頭、遠場麥克風陣列和全屋自主移動底盤，以白牌貼牌的方式源源不絕地湧入獨居長者的睡房與孩子的客廳。

深圳視壯這 147 萬台認證電視盒子的崩塌，為所有智能硬件買家與下游品牌商敲碎了最後一層濾鏡。外殼上的「官方認證」貼紙保不住唯讀分區裏的私貨，鎖死的 Bootloader 更救不了監守自盜的內鬼。對採購 ODM 方案的品牌方而言，交付前獨立解包審計韌體二進制檔案與外聯基線已是生死線；而對我們每一個普通家庭來說，永遠不要把電視盒子、廉價網絡鏡頭和來歷不明的陪伴硬件與自己的主力電腦、手機和 NAS 放在同一個區域網絡網段裏——在路由器上花三分鐘將它們關進徹底隔離的訪客 VLAN，大概是這個萬物皆可預載後門的時代裏，成本最低亦最管用的自保底線。

標籤：[網絡安全](https://afengblog.com/zh-hk/tag/cybersecurity)、[技術復盤](https://afengblog.com/zh-hk/tag/retrospective)、[供應鏈安全](https://afengblog.com/zh-hk/tag/supply-chain-security)、[Android TV](https://afengblog.com/zh-hk/tag/android-tv)、[殭屍網絡](https://afengblog.com/zh-hk/tag/botnet)

---

原文：https://afengblog.com/zh-hk/blog/google-certified-xcpe-botnet-videostrong-android-tv.html

其他公開頁面亦可在 URL 後加上 `.md` 取得 Markdown 版本；網站索引： https://afengblog.com/zh-hk/llms.txt