谷歌捣毁130万台电视盒子僵尸网络

谷歌本周披露，已联合日本警察厅等多家安全机构捣毁一个由超过130万台安卓设备组成的僵尸网络，受影响设备以安卓电视盒子为主。谷歌威胁分析小组在报告中称，有「高度确信」认为，总部位于深圳的设备制造商视壮科技（Videostrong）为牟利而故意在出厂固件中植入名为 x.cpe 的后门，并向犯罪团伙出售设备访问权限，排除了内部人员作恶或开发失误的可能。

这个后门以系统应用形式内置在只读系统分区里，普通用户即便恢复出厂设置也无法清除。为了躲过谷歌的兼容性测试和安全审查，它会在设备出厂后的最初数十小时保持静默，检测到测试网段时也不通信，等设备售出并接入真实家庭网络数天后才唤醒激活。

拿到控制权的犯罪团伙可以让它静默安装应用、关闭系统自带的 Play Protect 防护、执行任意命令、截取屏幕画面、记录按键输入、窃取账号信息和系统日志，甚至开启反向 shell 获得远程命令行。谷歌观测到的实际用途包括广告点击欺诈、把家庭宽带包装成住宅代理在网络黑市转售，以及横向探测同一局域网内的其他设备。

打击行动中，谷歌通过司法程序关停了20多个与该僵尸网络关联的指挥控制域名，同时切断了十多个相关恶意软件家族的控制通道，预计至少1000万台经其他途径感染设备的访问也被一并阻断。日本警察厅以及 Lumen、HUMAN Security、Plume、Synthient、TrendAI 等安全机构参与了行动。

对视壮科技，谷歌已终止全部合作，禁止这家公司及其未来设立的子公司、关联方生产或销售经认证的安卓设备，也禁止其向其他认证厂商供应软件，并相应修改了认证审查流程。谷歌提醒，受感染设备里的后门目前仍无法自行移除，且僵尸网络运营者历来会快速迁移到新工具，用户应留意设备异常行为。

编译自 Ars Technica，原标题："Google dismantles botnet secretly running on 1.3 million Android TV boxes"