Google 禁用合作夥伴 Videostrong：逾 130 萬部 Android TV 盒子被發現植入後門程式

Google 斬斷與 Videostrong 合作關係

Google 宣佈停止與中國內地設備製造商 Videostrong Technology 合作。呢間公司原本係 Google 嘅 Android 合作夥伴，但最近發現有超過 130 萬部由該公司生產嘅 Android TV 盒子，被植入咗一個名為「XCPE」嘅後門程式（backdoor）。

根據 Google 威脅情報小組（Threat Intelligence Group）喺 11 月 2 日發布嘅報告，該小組非常有信心認為 Videostrong 係特登將 XCPE 植入設備入面，目的係透過呢個後門嚟賺錢。Google 同幾間安全公司喺上星期（10 月 30 日至 11 月 2 日期間）已經將呢個殭屍網絡（botnet）摧毀。

獲利手段與安全威脅

Videostrong 賺錢嘅方式係將受感染設備嘅訪問權限賣畀犯罪集團，再由該公司幫買家將惡意軟件（malware）安裝到設備入面。Google 發現好多呢類惡意軟件係用嚟做廣告欺詐（ad fraud）或者建立住宅代理網絡（residential proxy networks）。喺部分設備上，Google 甚至發現單一部機就運行緊三個住宅代理 SDK（Software Development Kit）。

更嚴重嘅係，Google 指出 Videostrong 嘅操作員甚至會喺受感染嘅設備上截取即時螢幕截圖，並盜取用戶嘅帳戶資料。

繞過 Google 安全認證

以往雖然有低端 Android 電話被發現預裝惡意軟件，但多數係山寨機或無名品牌。今次事件較之唔同，因為 Videostrong 係 Google 認證嘅 Android 合作夥伴。正常情況下，製造商必須通過 Google 嘅兼容性同安全性測試，先可以預裝 Google 應用程式。

然而，Videostrong 採取咗隱藏代碼嘅手段，令測試過程發現唔到，而個後門程式會喺設備第一次啟動之後先至加載。由於呢個行為，Google 決定唔再允許 Videostrong 生產認證 Android 設備，亦唔會再向佢哋提供軟件畀其他認證製造商。

XCPE 後門嘅運作方式與影響範圍

根據報告，XCPE 係預先植入喺設備嘅韌體（firmware）入面，擁有系統級別嘅權限。安全公司 Synthient 喺 2025 年底買咗一部 Mecool KM9PRO Max，發現入面已經有個名為 "com.oemservice" 嘅後門。Synthient 指出，Mecool 嘅 Android TV 盒子喺追求盜版內容嘅用戶之間好流行，因為佢哋允許安裝第三方應用程式嚟繞過數位權利管理（DRM）。

每當設備啟動，XCPE 就會將設備嘅序列號（serial number）同 MAC 地址傳送畀 Videostrong 嘅伺服器，然後等待指令。操作員可以喺用戶唔知情嘅情況下，指令設備安裝應用程式或執行 shell 命令。Synthient 估計，喺 130 萬部受感染設備中，大約有 50 萬部每日仍然同伺服器溝通。受影響地區主要係馬來西亞、墨西哥同巴西，美國亦有受感染設備。

除此之外，Google 發現 XCPE 亦出現喺遠端醫療設備、卡拉 OK 機同數位告示牌（digital signage）入面。Google 已經採取法律行動，關閉 Videostrong 運行殭屍網絡嘅域名同伺服器，同時摧毀咗十幾個透過 XCPE 傳播嘅惡意軟件家族伺服器。Google 表示，呢次行動預計能切斷犯罪分子同另外 1,000 萬部受感染設備嘅聯繫。呢個係 2026 年 Google 第二次處理類似事件，今年 1 月 Google 亦曾摧毀過一個影響數百萬設備嘅住宅代理網絡 IPIDEA。

用戶點樣檢查同應對

要檢查設備有無 XCPE 並唔簡單。自 2026 年 8 月起，部分設備更新咗惡意軟件版本，將其偽裝成 Android 系統應用程式，例如名為 "com.android.system.ntp"。Synthient 已經公布咗一份涉及 180 幾個設備型號嘅名單，包括 KM9PRO。但要注意，型號喺名單內唔代表該部機一定受感染。用戶亦可以用線上服務檢查自己嘅 IP 地址係咪被用作住宅代理。

Google Play Protect 設定

Google 建議用戶確保開啟 Play Protect：

• Android 11 或更新版本：進入 Google Play Store $\rightarrow$ 菜單 $\rightarrow$ Play Protect $\rightarrow$ 設定。
• Android 10 或舊版本：進入 設定 $\rightarrow$ 應用程式 $\rightarrow$ 安全與限制 $\rightarrow$ 「驗證應用程式」。

不過，Google 承認 Play Protect 對 XCPE 嘅作用可能有限，因為個後門程式有能力關閉 Play Protect 嘅應用程式驗證功能。

解決方案

單純卸載 XCPE 係冇用嘅，因為後門程式會喺設備重新啟動時，從韌體入面自動重新安裝。Synthient 建議用戶採取以下措施：

1. 將受影響設備從網絡中移除。
2. 更改 Wi-Fi 密碼。
3. 更新路由器韌體。

美國聯邦調查局（FBI）喺今年早前已經警告，串流設備可能會被黑客用嚟監視。今次事件顯示，使用廉價、無名品牌嘅盒子風險更高。Google 表示已經更新咗審核流程，防止其他製造商用同樣手段繞過測試。

總結

今次 Google 針對 Videostrong 嘅行動，揭示咗供應鏈安全嘅漏洞，即使係認證夥伴亦可能將後門植入韌體。對於消費者嚟講，選擇可靠品牌並保持系統更新係保障私隱嘅重要手段，而對於已經使用相關設備嘅用戶，建議盡快檢查網絡安全並考慮更換設備。