Google指深圳一电子厂在电视盒子植入后门 超130万部电视盒子变僵尸网络，并将受感染设备的访问权限出售牟利

11月3日Google表示，与日本警察厅展开合作，共同关闭一个软件后门，并指控深圳一间电子制造商涉嫌刻意在出厂的软体植入后门，并向网络犯罪集团出售装置控制权，此次事件共涉及约130万部Android电视盒子，Google指这些机顶盒遭纳入一个僵尸网络中。 据《日本时报》报道，谷歌在周二（3日）发文称，已经在上周与日本的警察厅和其他资讯安全公司联手拆除后门及受感染的网络（僵尸网络），并指在评估后相信后门及僵尸网络是遭刻意植入。 谷歌表示，制造商涉嫌将受影响的（僵尸网络）设备控制权转售给犯罪团体，并协助他们在设备上植入恶意软件模组。这些模组可在背景下执行广告诈骗，或将电视盒变成住宅代理器（Residential Proxy），并在用户不知情下，透过用户的家庭宽频和IP地址传送至第三方网络流量。 谷歌威胁情报团队发布报告宣布已经与安全厂商及执法机构合作，破坏名为 XCPE 的超大规模僵尸网络。该僵尸网络通过预装在安卓电视盒子固件中的后门程序，将超过 130 万台电视盒子远程控制，设备分布在全球多个国家和地区。受影响的设备大多数都是视壮科技生产或代工生产的安卓电视盒子，但谷歌也发现部分远程医疗设备、卡拉 OK 设备和数字标牌等安卓设备也受到感染。 谷歌高度确信设备制造商深圳视壮科技 (Videostrong) 为牟利而开发、部署和运行该后门和僵尸网络，谷歌称视壮科技将受感染设备的访问权限出售给其他参与者，用于广告欺诈、住宅代理、流量转发和用于分发更多恶意程序。 后门隐藏在固件中，可静默安装其他程序： 分析发现 XCPE 的主要组件在部分设备中名为 x.cpe，在部分构建中也可能使用 com.oemservice 这个名称，该组件被预装在固件分区以安卓系统级权限自动运行。 设备启动后该组件会检查相关文件并静默安装后门程序，随后连接远程控制服务器 (C2) 获取配置指令。谷歌观察到的行为包括但不限于：静默安装应用程序、执行命令、截取屏幕内容、收集设备信息、探测用户所在网络。 后门程序还可以加载其他组织或犯罪团伙提供的恶意模块，其中部分恶意模块会将设备变成住宅代理出口，第三方流量经过用户家宽进行转发，通过家庭网络的公网地址访问外部服务。其他模块则在后台实施广告欺诈或继续下载更多程序。 谷歌指控视壮科技参与运营，宣布切断与该公司的认证合作： 谷歌在多个品牌和型号的设备中发现内置恶意软件且相关行为已经持续多年，相关公司也为这个恶意网络配备专门的控制基础设施。基于这些证据，谷歌认为事件涉及视壮科技持续运营而非单一开发者的偶发行为。情报团队发现视壮科技使用混淆技术利用谷歌认证测试中的流程漏洞，在设备首次启动后加载恶意代码。部分设备此前属于经过谷歌认证、预装 Google 应用的产品。 作为处置措施，谷歌宣布终止与视壮科技的任何合作，禁止该公司及其关联实体制造和销售经过认证的 Android 设备，也禁止向其他认证厂商提供软件。谷歌还准备改进安卓电视设备的固件完整性检查以应对类似问题。 目前用户无法卸载后门： 谷歌已经通过法律行动破坏用于控制该僵尸网络和分发恶意模块的域名和服务器，也针对多个通过该后门传播的恶意软件家族的控制域名采取行动。这些行动牵涉到超过 1000 万台设备，也包含视壮科技这 130 万台安卓电视盒子。 特别