Google 威脅情報團隊（GTIG）近日公布，與日本警察廳、資安業者 Synthient、TrendAI 等夥伴合作，瓦解名為 XCPE 的殭屍網路。Google 指出，Android 設備代工廠（OEM／ODM）Videostrong 讓逾 130 萬台機上盒成為殭屍網路的一部分；Google 認為這不是個別內部人員所為，也不是開發疏失，「x.cpe 網路是為了持續獲利而建立的」。Videostrong 截至《The Record》刊出時，未回應置評請求。
TrendAI 觀測到的受感染設備遍及 170 多國，台灣名列最多的前五國之一；而 130 萬台可能還是保守數字。參與調查的 Synthient 創辦人 Ben Brundage 告訴《Krebs on Security》，這個數字「非常保守」。Google 也估計，切斷相關惡意程式家族的控制網域，還能斷開至少 1,000 萬台其他受感染裝置的存取。這些出廠就帶著後門的機上盒究竟被拿來做什麼？買走這些家用網路的又是誰？
一台電視盒、多條財路：閒置頻寬如何被分包賣出？
答案藏在「住宅代理」（residential proxy）這門生意裡。住宅代理讓買家借用一般家庭的網路連線上網，被借用的家用設備，就是代理網路的「出口節點」。Google 直指：「後門營運者、廣告詐欺集團與住宅代理業者構成一條互相串連的供應鏈，一旦其中一環遭到打斷，營運者就會迅速轉向新的載入程式，或競爭對手的變現 SDK。」Synthient 則形容，這是一場更大規模「按安裝數付費」（pay-per-install，PPI）行動的一部分，助長了廣告詐欺與代理生態系。
Google 指出，Videostrong 透過出售後門存取權給犯罪合作夥伴，並替對方把惡意模組裝進受感染設備來獲利。名為 x.cpe 的後門預載在韌體中，以系統層級權限執行；TrendAI 進一步拆解，x.cpe 搭配變現模組 com.abc.nexus，能把客廳裡常見的設備，變成住宅代理的出口節點、廣告詐欺的點擊器，或 PCDN 網路的節點。PCDN 在中國相當常見，利用家用設備的閒置頻寬傳送影音串流等內容，並付費給設備主人。
TrendAI 觀察到三類收入：轉賣家庭網路連線的住宅代理服務、未經任何同意畫面就加入的兩個商業頻寬分享計畫，以及產生詐欺廣告曝光的廣告模組。營運者可以從中央主控台，透過 MQTT 指令逐台開關這些模組，一台電視盒因此能用好幾種方式賺錢，有時還同時進行，主人看到的卻只是一台正常播放節目的串流設備。TrendAI 在 6/3 至 10/1 間歇觀測發現，營運者實際變現了約九成受控設備，這個代理產品平均每天提供約 18 萬個真實家用 IP，單日高峰逾 36 萬個，且都只是下限。
不跳同意畫面就加入代理網路，Google 要求業者拿出可稽核的同意證明
模組裝進的代理 SDK 之一 AppSalt，是爭議焦點。Google 分析指出，AppSalt 初始化時不顯示同意畫面，而是直接呼叫 optIn() 方法，在沒有任何使用者介面的情況下設定同意旗標；啟動時還會檢查應用程式的安裝來源，若是從官方 Google Play 商店安裝，就停止執行。AppSalt 是 Honeygain 旗下的住宅代理 SDK，Honeygain 則隸屬於立陶宛的 Oxylabs。
Google 點名的營運者是 Videostrong，不是 Oxylabs。據《Krebs on Security》事後更新的報導，Oxylabs 表示查無 Videostrong 這家公司的紀錄，但在供應商中找到 GTIG 報告列為 Videostrong 惡意程式外部載入程式的 com.abc[.]nexus，「我們一看到，就暫停了合作關係，並發出正式的法律查詢函。」Oxylabs 也表示，公司系統設計上必須收到使用者同意的訊號，才會把設備當作出口節點，是開發者偽造了這些訊號。
早在 Oxylabs 發表聲明之前，Google 的報告就從整個代理產業的角度分析，認為這些業者只有在平台政策與執法逼迫下才會徵求同意，未經使用者同意的「靜默加入」仍是設備變成出口節點最普遍的方式。TrendAI 另提醒，付費換流量的公司本身不一定是惡意，問題在於營運者未經設備主人同意就把設備納入。Google 也對代理業者提出要求：「雖然部分業者可能聲稱自己行事合乎道德，只在消費者明確同意下才註冊設備，但任何『道德取得』的主張，都必須有透明、可稽核的使用者同意證明作為依據。」
流量混在真實客戶之中，只看 IP 為何擋不住帳號接管與詐欺？
這些頻寬賣出去之後，可能被怎麼使用？資安記者 Brian Krebs 指出，住宅代理服務是不當、往往也是惡意流量的主要來源，包括帳號接管、廣告詐欺，以及為 AI 專案大量爬取內容。Synthient 也提到，無監管的代理網路會推動撞庫（credential stuffing，用外洩帳密大量嘗試登入）與分散式阻斷服務（DDoS）殭屍網路。
對企業而言，這些流量很難和正常使用者區分。TrendAI 指出，來自這些設備的流量，和企業真實客戶、在家工作員工使用的是同樣的網路，針對資料中心 IP 範圍的封鎖清單無法攔截，實際上也沒攔下這類流量。買家只需要租用存取權，不必自己入侵；風險會落在所有用 IP 位址判斷使用者是誰、身在何處的環節，例如登入篩檢、支付詐欺檢查、廣告計費與地區限定服務。
舉例來說，租用出口節點的攻擊者，可以取得受害者所在國家與地區的家用寬頻位址；在廣告端，每台盒子都從真實家庭連線產生曝光，廣告驗證系統會把它當成真實受眾。不過 TrendAI 也強調，研究團隊並未觀察到這批設備代理容量的具體買家，這些發現也不應被當成國家級攻擊者使用這批設備的證據。
拆掉伺服器不等於清乾淨：企業從採購、網路分段到登入驗證怎麼防
Google 這次透過法律行動，拿下 Videostrong 控制殭屍網路的網域與伺服器，以及十多個經由這個後門載入的惡意程式家族所用的控制（C2）網域。Google 也禁止 Videostrong 及其未來的子公司、關係企業製造、販售經 Google 認證的 Android 設備，或向其他認證廠商供應軟體。GTIG 瓦解行動負責人 Charley Snyder 告訴《The Record》，切斷通訊網域「實際上使惡意程式變得無害」。
TrendAI 的看法較保留：拆除伺服器切斷了營運者與設備的連線，但植入程式仍留在每台已售出的設備上，這類營運者過去也曾在新的基礎設施上重建。受影響的也不只家用機上盒，Google 另觀察到遠距醫療設備、卡拉 OK 機與數位看板等 Android 物聯網設備遭感染。
企業端可以怎麼做？Synthient 建議企業 IT 用報告公布的入侵指標（IOC）盤點網路，發現可疑設備立即斷線，封鎖 C2 網域與 IP，並把其餘物聯網設備放在與敏感系統隔離的網段。TrendAI 則建議，有遠端員工的組織，應把員工家中未受管理的消費性設備視為曝險，公司存取只透過受管理的端點；詐欺防制團隊不要只依賴 IP 信譽，可記錄 JA4T 等網路指紋，結合重複登入失敗等行為訊號再處置。
採購端同樣是防線。Google 指出，下游硬體品牌、白牌經銷商、電信業者與電商平台都有責任堵住這個破口，「零售商與經銷商應要求原始設計製造商（ODM）提供獨立的資安稽核，並迅速下架涉及供應鏈濫用的製造商。」TrendAI 也建議，販售白牌電視盒的通路應要求供應商提供經認證的韌體。
XCPE 的控制網域與伺服器雖已被拿下，但同意訊號可以被偽造，已售出的設備也仍帶著植入程式。對企業而言，防禦的焦點正從設備本身，延伸到登入、支付與廣告系統如何看待「來自一般家庭」的流量。
【推薦閱讀】
◆ 歐洲超市冷凍櫃三週兩度遭駭、法國血庫也遇襲：設備管理介面為何成破口？
◆ Qwen3.8 試圖連往阿里雲，是後門還是訓練殘留？企業部署 AI 代理先管住對外連線
◆ Google、微軟、OpenAI、Anthropic 支援網站一次退出 AI 訓練，但只管訓練、不擋爬蟲
＊本文開放合作夥伴轉載，資料來源：Google 威脅情報團隊、Synthient、TrendAI、《Krebs on Security》、《The Record》，首圖來源：Unsplash
