130万台电视盒子出厂泄露信息：XCPE后门把用户数据送进黑产

导语：盒子买回家开机没几天，你的账号、剪贴板、屏幕画面已经出现在别人的服务器上。130万台安卓机顶盒出厂就带后门，厂商自己运营僵尸网络，把访问权限卖给十几个犯罪团伙——不只借带宽，还顺着盒子摸进用户所在的局域网。谷歌封了域名和服务器，却一台设备上的后门都没清掉。

一、出厂即肉鸡：后门是厂商自己埋的

11月2日，谷歌威胁情报团队（GTIG）高置信度判定：XCPE 后门及其僵尸网络，由安卓机顶盒代工厂商视强科技（Videostrong Technology Co.，深圳；贴文中写作”视壮”）自行开发、部署并运营，为的是牟利。

关键词是”自行运营”。不是外包商偷偷塞，也不是 OTA 服务器被黑——厂商本人就是这130万台设备的运营方，也是黑产总包。

130万台以上的机顶盒被拖进网里。谷歌估算切掉 C2 域名能再断1000万台以上受感染设备；趋势科技自统计 1472554 台，Synthient 拉出 182 个受影响型号。巴西、马来西亚、伊拉克、墨西哥和台湾地区最多，美德英澳加各有数万台在线。

MECOOL 品牌由深圳创维旗下上市公司 Skyworth 销售，2023年被近1700万订阅的 Linus Tech Tips 推荐过，如今已改口说是骗局。

谷歌切断了与视强科技的全部合作，禁止其及未来任何子公司、关联方生产销售认证安卓设备。漏洞是混淆技术骗过了兼容性测试，恶意代码在设备首次开机后才加载。

二、后门怎么交到黑产手里

桩程序 x.cpe（部分构建叫 com.oemservice）预置在固件 /oem/ 分区，跑在 system 权限下，卸载后重启会自动装回来；开机拉配置、连消息队列遥测传输（MQTT）通道等指令。中间层加载器 com.abc.nexus 通过进程间通信接指令，释放 libseccomp_guard.so 过滤系统调用，专治自动化沙箱，2026年8月起的新变种直接伪装成 com.android.system.ntp 这类系统名。最上面是黑产自己写的变现模块，由厂商代为分发——厂商是总包，载荷托管在操作者自有的 GitHub Releases 上。

三、黑产拿这批肉鸡干什么

三条变现路线，钱全从用户家里出。

广告欺诈。HiddenView 用透明窗口盖住屏幕，靠隐藏的 WebView 模拟滚动点击播放，曝光照报给平台，屏幕上什么都不显示；Fission 直接嵌在 cboxtv 这类视频应用里无头刷曝光；Moyu 顺手劫持剪贴板，Bird 挂锁屏广告。

住宅代理。AppSalt 是 Oxylabs 旗下 Honeygain 的 SDK，代码里直接调 optIn() 写死同意标志，界面一句不弹；LINKFOG 走反向隧道把盒子变边缘节点；GaGaNode 还会拉起 PopaNet/NetNut 和 EarnFM。用户以为在看电视，实际是替黑产跑流量。

直接往设备里塞恶意软件。这条最狠。桩程序能静默装 APK、以 system 身份跑任意 shell 和远程脚本；截屏靠 sendKeyDownUpSync() 注入按键码，再反射调 SurfaceControl.screenshot 持续抓屏，压成 JPEG 经 MQTT 回传。谷歌在 C2 数据里看到厂商操作人员实时截图、注入按键、外传账号信息、包清单和系统日志——用户痕迹基本被搬空，甚至直接建立反弹 shell。libtraceroute.so 则用来摸清盒子所在局域网的拓扑——盒子成了跳板。

受影响的不止电视盒子，远程医疗设备、点歌机、数字标牌跑同一套安卓，中招后同样是别人的出口节点。

四、流量卖给了谁

住宅代理商 Oxylabs 和 Honeygain 在 2026年10月重组为独立平台 Source，获华平投资 1.3亿美元，估值36亿美元。11月5日 Oxylabs 承认：自家系统必须收到设备同意信号才能当代理出口节点，是开发者伪造了信号；其供应商含 GTIG 报告里的加载器域名 com.abc.nexus，已停合作并发法律询问，占其 IP 池不到 1%。2026年7月，FBI 还联合业界查封了数百个 NetNut 相关域名。

五、事实清单：这些都能自己核

C2 与托管域名：anyevonline.com（含 mcstb. 与 stb*. 两个变体）、mqtt.szbboys.com、ott.szbboys.com，另调用 ip-api.com 和谷歌 STUN 服务器做定位与 NAT 穿透。载荷大量托管在操作者自有的 GitHub Releases。

恶意包名：x.cpe、com.oemservice、com.abc.nexus、com.android.system.ntp、com.android.sso.auth.handler、com.ota.service、com.newtv.cboxtv。

原生库：libseccomp_guard.so（反沙箱）、libexploit.so（提权装系统分区）、libjaguar.so、libtraceroute.so（内网侦察）、libnative_keys.so、lw_android_agent。

规模与范围：趋势科技统计 1472554 台受影响设备，Synthient 列出 182 个型号清单，MECOOL 及来源不明的白牌安卓盒子都在排查范围内。

六、怎么防

用户侧，现在就能做。第一，把盒子放进路由器访客网络或独立 VLAN，别让它碰你的手机和电脑。第二，不用就物理断电，拔插头比关机彻底。第三，白牌安卓盒子不值得赌，换成非安卓机顶盒。第四，对照 Synthient 那 182 个型号清单；路由器后台 DHCP 列表看有没有陌生设备，应用列表搜 x.cpe、com.oemservice。第五，路由器或 AdGuard 里拉黑 anyevonline.com、szbboys.com，关掉 UPnP 和 WAN 侧远程管理。

企业侧。先做资产清点，会议室投屏盒子、点歌机、数字标牌一律纳入隔离网段。出口侧做 DNS sinkhole，把上面几个 C2 域名指向黑洞，并阻断这些设备直连 GitHub Releases——载荷主要从那儿拉。再按那批包名和 .so 文件名加规则，最后审计出站流量，住宅代理节点会把办公网 IP 当出口刷账号接管。

根因上。谷歌已改认证流程、永久禁止视强科技进入生态，但白牌安卓盒子多的是，认证章盖不到的地方后门照旧。采购环节把关，比事后清理便宜。