买电视盒子认准官方认证，这句 Google 自己喊了多年的安全口号，刚刚被它的认证合作伙伴亲手砸碎。2026 年 11 月 2 日，Google 威胁情报小组宣布已于前一周捣毁名为 XCPE 的僵尸网络，并将深圳硬件制造商 Videostrong Technology Co. 永久踢出生态。这家拥有官方资质的代工厂，故意在 130 万台认证设备的出厂固件里预埋后门，把全球客厅里的机顶盒直接做成了租给黑产的肉鸡网络。
把不同机构的统计放在一起看，这起供应链投毒的真实盘子还要更大：
- 实际感染规模.联合公告采用保守的 130 万台口径，但安全机构 TrendAI 在 2026 年 6 月至 10 月间实测捕获到 1,472,554 台受感染设备，横跨 206 个型号，散落在全球 200 个国家。
- 波及硬件品类.重灾区是 Android TV 电视机顶盒，同时牵连远程医疗终端、点歌机和数字标牌等物联网设备。
- 黑产变现链条.Videostrong 向犯罪团伙售卖后门访问权限并加载恶意模块，用于广告欺诈、窃取数据以及搭建住宅代理网络；端掉这些团伙的控制域名后，预计还将切断至少 1000 万台其他受控设备的连接。
- 跨国联合清剿.Google 联合 Plume、TrendAI、Lumen、HUMAN Security、Synthient 及日本警察厅采取法律与技术行动，接管了控制服务器，并禁止 Videostrong 及其未来关联企业再沾染任何认证 Android 软硬件。
首次开机才露獠牙，出厂质检成了摆设
大家最好奇的一件事，是一家正牌合作伙伴怎么在 Google 眼皮底下把毒塞进上百万台机器。答案不在高深莫测的零日漏洞，而在对认证流程盲区的精准卡位。
这个名为 x.cpe（部分固件里伪装成 com.oemservice）的后门，出厂时就静静躺在系统底层的 /oem/ 分区里。Google 的认证测试主要检查出厂静态固件和常规兼容性，Videostrong 索性用代码混淆藏住恶意模块，设定在用户买回家完成首次开机之后才真正触发加载。质检台上的机器干干净净，一插上客厅电源就原形毕露。
更要命的是权限倒挂。很多用户分不清 Play Protect 认证和 Google Play Protect 安全扫描服务，以为贴了标就有金钟罩。实际上前者只管出厂兼容性和预装资格，后者才是运行时抓毒的保安。当 x.cpe 带着 Android 系统级最高权限醒来，它干的第一件事就是直接关停 Google Play Protect，顺手拿下静默装应用、截屏、提取账户信息和建立反向 shell 的全套能力，哪怕恢复出厂设置或重启，它也能从 /oem/ 分区满血复活。
打脸来得太快，代工薄利催生黑产生意
把时间拨回一年前，这件事的讽刺感才真正拉满。2025 年 3 月 BADBOX 2.0 预装木马曝光时，Google 给出的标准防御口径是涉事机器全都是未经认证的开源 AOSP 白牌盒子，只要消费者认准 Play Protect 认证就安全。
结果不到两年，回旋镖正中眉心。安全研究人员发现，XCPE 与去年的 BADBOX 2.0 生态共享 com.abc.nexus 等底层组件，还顺带帮黑产分发 MoYu 等十余种恶意软件家族。在深圳极其成熟的 ODM 代工体系里，同一家工厂左手接官方认证品牌的合规订单，右手做无牌盒子的生意本就是常态。我不太买账那种把供应链黑产归咎于个别内鬼的公关说辞，Google 这次自己也把话挑明了，这就是制造商跨越数年、横跨多个品牌型号的蓄意商业犯罪。
当硬件制造沦为微利苦力，出卖系统最高权限就成了暴利副业。
司马迁写天下熙熙皆为利来，放到今天的低端智能硬件代工链条里格外贴切。一台电视盒子在硬件参数和模具上早已卷无可卷，出厂毛利薄如刀片；但只要往固件里塞一行代码，把全球上百万个家庭宽带的真实住宅 IP 租给黑产做代理网络和广告欺诈，一锤子的硬件买卖立刻变成按月收租的印钞机。这很像二十年前 PC 时代的山寨装机商靠预装流氓软件赚钱，但危险等级完全不同——当年的电脑用户还能自己重装纯净版系统，今天的电视盒子用户连底层分区在哪都摸不着。
服务器端掉了，客厅里的暗桩还没拔干净
这次 Google 反应不算慢，拉黑厂商、打官司封域名、补上首次启动后的固件审查漏洞，一套组合拳下来，XCPE 的指挥控制网络确实瘫痪了。
但我更在意的是散落在 200 个国家客厅里的那 147 万台实体机器。网络层的联合清剿只相当于剪断了木偶头顶的提线，并没有把焊死在 /oem/ 只读系统分区里的后门代码抹掉。源头制造商 Videostrong 已经被踢出局，横跨 206 个型号的下游贴牌商要么没有技术能力编译新固件，要么根本不想承担召回成本，指望它们主动推送底层 OTA 升级去净化分区，几乎是痴人说梦。
- 风险.Google 至今没有公布这 206 个受影响型号的具体消费品牌清单，普通买家根本无从核对自己电视柜上摆着的是不是带病硬件。
对于家里正用着海外小众品牌或贴牌 Android TV 盒子的用户，别去折腾恢复出厂设置了，那清不掉 /oem/ 分区里的东西。最稳妥的办法是留意路由器后台有没有异常境外连接，或者干脆拔掉那些来路不明的低价盒子。官方认证这枚印章，终究只能证明机器离开流水线那一秒的合规，管不住代工厂在通电之后动起的歪心思。