你家的电视盒子，可能一直在替别人“打工”

有个事儿我盯了两天，越想越不对劲。

你花一两百块买个电视盒子，插上家里网线，以为它只干一件事：播剧。结果深圳一家厂商在出厂固件里就埋了后门，把超过130万台盒子的控制权，卖给了黑灰产。

你家宽带的公网IP，成了别人随手租用的“出口”。谷歌11月2日把这事捅了出来，涉事公司叫Videostrong，深圳的。

我第一反应不是“又有新病毒了”，而是：认证标志到底还能信谁。

后门不是黑客打进去的，是厂商自己写进去的

以前电视盒子出事，套路大多是“用户装了来路不明的App”，或者“山寨白牌机贪便宜”。

这次不一样。

谷歌威胁情报组的结论很直接：x.cpe后门以系统应用的形式，预置在出厂固件里，拥有系统级权限。设备通过谷歌的Android TV认证，正常上市销售。用户第一次开机、连上网之后，后门才开始跟服务器通信，等待指令。

为了过认证，Videostrong用了代码混淆，把恶意代码藏到“首次开机之后”才加载。测试的时候是干净的，到了用户手里才开始干活。

更麻烦的是，它预置在系统分区。用户就算在设置里删掉那个可疑应用，重启之后它还能从/oem/分区自己装回来。恢复出厂设置也未必清得掉。

这不是漏洞。这是有人把门锁的钥匙配了一把，放在自己口袋里，然后把房子卖给了你。

你的宽带没断，但已经在替别人跑流量了

盒子被控制之后，干的活比很多人想得“朴素”。

主要用途之一，是把受感染设备变成住宅代理节点。第三方买走访问权限，把流量从你家宽带走一圈，对外显示的IP是你家的。另一部分模块负责广告欺诈：后台偷偷加载网页、伪造曝光和点击。

我打个可能不太准确的比方。你家水管没停水，水压也正常，但有人在管子上接了个三通，隔壁洗车、浇花都用你家的水。账单上看不出异常，因为你本来就不盯着水表。

盒子表面上照样能播剧，照样能连Wi-Fi，卡顿你只会怪宽带。但你的家庭网络身份，已经被挂到别人的货架上了。

TrendAI统计到的感染设备是1,472,554台，覆盖206个型号。谷歌给的保守说法是“超过130万台”。感染量靠前的地区包括马来西亚、巴西、伊拉克、墨西哥，美国、德国、英国、澳大利亚、加拿大也各有数万台在线。

比“中招”更值得琢磨的，是“怎么中的”

我认同谷歌这次的处理力度：终止合作，永久禁止Videostrong及其未来子公司、关联方生产或销售经认证的安卓设备，也禁止它向其他认证厂商供应软件。同时关掉了控制服务器和十几个恶意软件家族的域名。

但我更在意的是这件事的“入口”。

Videostrong不是路边摊。它拿过Android TV合作伙伴认证，既做自有品牌，也给别的牌子代工。谷歌认证本来是一个筛选机制：能贴这个标，意味着设备在兼容性和安全性上过了一道关。

结果这道关被厂商自己从内部绕过去了。

谷歌自己在报告里也承认，Videostrong利用的是认证测试流程里的空白：代码混淆，延迟加载，测试环节抓不到。

谷歌说正在更新认证流程，加强固件检查。这是必须做的，但坦白讲，认证体系面对“蓄意作恶的制造商”，防起来本来就吃力。

以前我们防的是“坏人往设备里钻”。现在要防的是“做设备的人自己就是链条上的一环”。这叫家贼，不是外盗。

后门还在设备里，这是最该说清楚的一点

谷歌关掉服务器，不等于你的盒子变干净了。

多家安全机构的判断是一致的：服务器被端，只是让受感染设备暂时收不到新指令，后门本身仍然留在固件里。要彻底清掉，得刷入干净固件；做不到的话，最稳妥的处理是让设备断网停用。

Synthient在2025年底买过一台MECOOL KM9PRO Max，拆开就发现预装的com.oemservice，也就是x.cpe的另一个名字。这说明后门至少在2025年底就已经在流通设备上了，不是11月才冒出来的新东西。

我不认为普通消费者该为这件事承担全部辨别责任。你买的是“谷歌认证”的盒子，不是“自己拆固件验二进制”的盒子。 要求每个用户都去查182个受影响型号清单，本身就不现实。

但现实归现实，家里那台来路不明的盒子，确实得自己上心。

为什么偏偏是电视盒子

电视盒子有几个特点，黑灰产很喜欢。

第一，它常年插着电、连着网。很多人看完电视不拔插头，盒子24小时在线，比手机还稳定。第二，家庭宽带的IP在代理市场里算“干净”的，比机房IP值钱，拿来做住宅代理正合适。

第三，盒子性能弱、系统封闭，用户不会装安全软件，也不会定期查后台进程。第四，换机周期长，一台盒子用三五年很正常，后门能潜伏很久。

从公开报道看，受影响型号覆盖多个品牌，其中不少是正常上市销售的机型，不是只在小作坊里流通。这意味着普通用户很难靠“渠道正规”来判断。你从正常渠道买的、包装完整的盒子，也可能在出厂那一刻就带着问题。

再往深一层想，智能家居设备越铺越多，摄像头、路由器、音箱、盒子，每一个都是家庭网络的入口。厂商预置后门这种事，打击的不只是某一台设备，而是“我买回家插上电就能放心用”这个基本预期。这个预期一旦松动，修复成本比封禁一家公司高得多。

我自己的感受是：安全这件事，最怕的不是外面的人撬锁，而是卖锁的人自己留了钥匙。 电视盒子只是这次被揪出来的那一把。

我自己的判断

第一，“便宜”和“白牌”不是原罪，但“查不到谁做的”是。 连生产商都搜不到、连系统更新都没有的盒子，等于把家庭网络的一个入口交给了陌生人。

第二，认证要看，但不能只看认证。 这次出事的恰恰是认证产品。买之前多花两分钟看一眼品牌有没有正常的固件更新记录、有没有可追溯的售后主体，比只看包装盒上的标实在。

第三，已经中招的，别指望“杀毒”。 固件级后门用普通安全软件清不掉。要么刷干净固件，要么换设备。舍不得那一两百块，继续插着网线，等于继续把家里的IP借给别人用。

信任链是从里面断的，修起来比补一个漏洞慢得多。

官方信源：

FreeBuf：《谷歌捣毁涉超130万台安卓设备僵尸网络》

https://www.freebuf.com/news/510287.html

IT之家：《谷歌捣毁大型僵尸网络：合作厂商在130万台安卓机顶盒中植入后门牟利》

https://it.ithome.com/archiver/1/022/407.htm

谷歌捣毁视壮科技僵尸网络，涉130万台机顶盒- DoNews快讯

https://www.donews.com/news/detail/8/6765192.html