XCPE殭屍網路控制逾130萬臺機上盒，Google指控Android裝置製造商刻意預載後門

Google威脅情報團隊（GTIG）近日揭露XCPE殭屍網路瓦解行動，這個殭屍網路控制全球超過130萬臺機上盒。Google調查發現，Android裝置製造商Videostrong Technology Co.涉嫌刻意在裝置韌體預載後門程式，並向犯罪合作夥伴販售裝置存取權限，協助部署對方開發的惡意模組。這些合作夥伴利用受感染裝置從事廣告詐欺，或將裝置變成常駐代理網路節點，替第三方轉送流量。Google已採取法律及技術措施瓦解XCPE使用的C2基礎設施，並禁止該公司製造、銷售經Google認證的Android裝置，或向其他認證廠商供應軟體。

Videostrong同時具有OEM及ODM身分，替不同品牌生產Android裝置。Google高度確信，該公司刻意開發及營運XCPE後門以獲利，並認為這並非個別員工擅自行為，也不是開發過程中的疏失。相關惡意程式主要出現在Android TV機上盒，也出現在部分採用Android系統的遠距醫療裝置、卡拉OK設備及數位看板。

Google指出，Videostrong利用程式碼混淆技術，避開Android裝置認證時的安全檢查，並在裝置首次開機後載入其他惡意程式。為防止類似問題再次發生，Google已調整既有的裝置認證程序，並著手強化經認證Android TV裝置的韌體完整性檢查。

不過，瓦解C2基礎設施並不代表受感染裝置中的惡意程式已經清除。Google的技術分析顯示，XCPE後門預載於裝置韌體，即使使用者將其移除，裝置重新開機後仍會從韌體分割區自動重新安裝，因此單純移除後門程式，仍無法徹底清除感染。資安媒體Bleeping Computer也指出，使用者可能需要重新安裝未受感染的韌體，才能清除裝置中的惡意程式；對於無法確認韌體安全性的裝置，也可考慮將其與網路隔離，降低遭到持續濫用的風險。