先想象一个有点瘆人的场景。

你在电视盒的系统里发现一个陌生程序，叫x.cpe，看着碍眼，手动删掉。第二天重启，它又安安静静地回来了，像什么都没发生过。你再删，它再回来。

这不是你操作有误。

这个程序握有系统级权限，相关安装包保存在设备的固件分区中。即使删掉已安装的程序，重启后也能从/oem/分区重新安装，普通卸载清不干净。它背后的主人，可能远在千里之外。

11月2日，谷歌威胁情报团队（GTIG）发布报告，把矛头指向了深圳一家安卓设备代工厂，Videostrong Technology，也就是不少海外用户熟悉的电视盒品牌MECOOL背后的设备厂商，中文名叫深圳市视壮科技有限公司。

谷歌用了"高度可信"这个措辞，指控这家厂商有意把一个名为XCPE的后门写进出厂固件，再把设备的访问权限卖给网络黑产。

目前被纳入这套僵尸网络的设备，超过130万台，分布在200多个国家和地区。

这件事最让人后背发凉的，是出事的环节变了。

我们熟悉的网络安全事件，剧本通常是这样：设备本来是干净的，黑客在外面找漏洞，攻破防线，再把木马塞进来。厂商和用户站在同一边，一起防坏人。

这一次谷歌讲的故事完全反过来。谷歌在报告里明确说，他们不认为这是某个员工的私自行为，也不相信这是开发疏忽。

因为调查人员在多个品牌、多个型号的设备固件中发现了恶意软件，相关活动持续多年，背后还有专门的控制设施。

也就是说，你付钱买回家、插上电视、连上自家WiFi的那一刻，这台盒子可能已经受到远程操作者控制。

而这家公司，此前还是谷歌认证的安卓设备合作伙伴，能够生产预装谷歌应用的认证设备。

那么，拿你家的网络，黑产到底能做什么？

谷歌披露的后门能力相当完整：后台静默安装应用、远程执行命令、截屏、窃取账号信息，甚至开一个反向连接，让操作者随时进来。

但让130万台设备变成一门生意的关键，是其中一个听起来很"技术"的用途，叫住宅代理。

解释一下。你家宽带的IP地址，在网站眼里属于一个真实家庭，可信度很高。黑产把全球130万个家庭IP收集起来，转手租给有需要的人。

运营者让别人的网络流量经过受感染设备，再从用户家的宽带出去，对外提供代理服务。租用这类出口，可以让批量注册、爬虫等流量看起来像来自普通住户，帮助使用者绕过网站风控。

一台机顶盒插着电、连着网，主人在客厅看剧，它在后台默默替陌生人"上网"。这些设备还可以运行另一类模块，制造虚假广告曝光，让广告主为机器生成的流量付费。

安全机构TrendAI记录到，从6月3日到10月1日，有超过380万个不同的IP连接过这套系统。

被卷进来的也不只是电视盒。远程医疗设备、卡拉OK机、商场里的数字标牌，只要用了相关方案，都可能在名单上。

为了躲过检查，这套后门还藏得很有耐心。

据谷歌描述，厂商利用混淆手法绕过安全测试，在设备首次启动后加载恶意代码。

2024年底，系统换了新的加载器；2026年8月以后，又出现伪装成普通系统应用的小型下载程序，先把自己藏好，再去拉后续的恶意模块。

The Register把它和此前的BadBox 2.0黑产生态联系起来，HUMAN在2025年3月披露，那个网络感染超过100万台设备，合作方已对其实施打击。

谷歌还提到一个细节：广告刷量模块会在长虹应用商店和TCL应用市场相关应用中触发广告SDK，制造虚假曝光。

但这只能说明刷量行为触发了这些渠道的广告组件，远远不能证明长虹或TCL参与了后门。

这次行动的规模也值得说清楚，免得数字越传越离谱。

谷歌联合日本警察厅、Lumen、Human Security、TrendAI等多家机构，在曝光前一周端掉了控制服务器。

谷歌称，拆掉这批黑产基础设施，还能顺带切断至少1000万台受感染设备的访问。这1000万台来自其他传播渠道，不能记在Videostrong一家名下。

还有一个必须讲明的分寸：谷歌的"高度可信"，本质上仍是一家公司基于证据作出的指控，不是法院的生效判决，Videostrong没有立即回应其置评请求。

这件事戳中的其实是低价智能硬件这门生意的老问题。

一台白牌电视盒在海外卖几十美元，硬件利润薄得像纸。当卖盒子本身赚不到钱，固件就成了隐藏的第二条收入曲线：机器可以亏本卖给你，只要它通电联网，背后的代理、刷量、预装就能持续产生收益。

你以为自己是顾客，在这套模型里，你家的网络和插着电的设备，才是被打包出售的商品。

最可怕的是，这种模式的伤害会层层传导。

最直接的是用户：网速变慢、电费略增、账号风险上升，而且后门握有系统权限，控制服务器被打掉之后，恶意代码依然留在已经卖出去的盒子里，普通恢复出厂设置都未必清得干净，很多设备恐怕只能更换。

再往外，是海外品牌、零售渠道对深圳白牌代工的信任危机，客户大概率会提高对固件的审查门槛，最后老老实实做产品的厂商，可能要为害群之马买单。

整件事最讽刺的彩蛋，在这家公司官网上。

就是这样一家被谷歌指控靠电视盒后门赚钱的公司，官网还在向全球品牌大力推销一门新生意：AI陪伴机器人的整机代工。公司自称产品走进了全球近一亿户家庭。

电视盒毕竟还摆在客厅角落，AI陪伴机器人却要走进卧室、听见老人和孩子说话、对着摄像头转动。

设备离一个家庭的生活越近，"固件到底是谁写的、里面还藏着什么"这个问题，就越重。

一句话送给所有打算入手超低价智能设备的人：一台能便宜到几乎不赚钱的硬件，总会在你看不见的地方，把钱赚回去。你要做的，是搞清楚它赚的到底是谁的钱。