Michael Johnson如果你拥有一台采用Videostrong厂商固件的Android电视盒，应检查设备来源：11月2日，Google称已与合作伙伴共同瓦解XCPE僵尸网络，该网络包含超过130万台电视盒。在此次行动中，Google促成控制服务器和恶意域名被关闭，并禁止Videostrong生产预装Google应用的认证Android设备。Google介绍了此次行动，称这是对若干型号固件中植入后门的应对措施。
具体关闭了什么
据Google威胁情报小组（Google Threat Intelligence Group）称，XCPE使用了固件内置组件x.cpe。该组件会连接控制服务器、接收指令并下载其他模块。Google称已对Videostrong用来控制僵尸网络和安装恶意组件的域名及服务器采取法律行动，同时也针对十多个恶意家族的控制域名采取了行动。
此次行动有日本国家警察厅、Lumen、HUMAN Security、Plume、Synthient和TrendAI参与。Google还表示，已禁止Videostrong及其未来的子公司和关联公司生产、销售认证Android设备，也禁止它们向其他认证制造商提供软件。该公司称已调整Android TV固件完整性检查机制。
与承诺立即清理每一台电视相比，“瓦解其运作”是更准确的说法。Google描述的是拆除控制基础设施和相关域名；其公告并未称已远程修复所有已售出的电视盒。关闭服务器会使运营者失去重要的控制和模块分发渠道，但这本身并不会改写已经安装的软件。
感染为何能在重启后持续
恶意组件位于固件的系统分区中。Google称，x.cpe以系统权限运行；即使用户从常规数据分区删除应用，它也能在重启后恢复自身副本。因此，在Android设置中查找并删除可疑应用，并不能保证电视盒已被清理。
该后门会与控制基础设施保持持久连接，并可接收命令，隐蔽安装应用、启动命令行界面以及收集数据。Google称，曾观察到攻击者截取屏幕画面、输入命令、传输账户和系统信息，以及运行脚本。下载的模块会将设备变成住宅代理网络节点，或用于广告欺诈；部分模块还会安装其他恶意软件。
这会让普通电视盒成为他人网络基础设施的一部分。通过家庭网络连接传输的流量可能看起来像是用户自己的流量，尽管设备实际上正在执行远程操作者的指令。Google还指出，发现的用途包括广告展示欺诈和数据传输。
电视盒所有者该怎么做
首先核实设备的准确品牌和型号、固件制造商以及认证信息。品牌名称本身并不能证明设备已感染：Google称，Videostrong软件被植入了众多型号和品牌的设备，因此设备来源及其固件才是关键。请对照Android TV官方合作伙伴的最新名单，并核查卖家或制造商提供的文件。
如果无法确认设备来源，或设备属于受影响的生态系统，请断开电视盒的网络连接，并向卖家或制造商咨询经过确认的更换或刷机方案。对于Google所述的这类存放在系统固件中、重启后会恢复的组件，不应把恢复出厂设置或删除应用视为足够的解决办法。不要从论坛下载来源不明的固件镜像：错误的镜像可能导致设备无法使用，或带来新的风险。
如果曾用这台电视盒登录账户，或在设备上显示过个人信息，请使用另一台可信设备检查账户活动；如发现可疑访问，应更改密码。这是保护账户的措施，并不能清理电视盒本身，因此仍需单独处理设备问题。
此次行动之后仍有哪些问题
Google将XCPE与Videostrong有意安装并商业化利用后门联系起来。该公司还估计，关闭相关模块的控制域名，可能使XCPE之外的超过1000万台受感染设备无法访问这些模块。这是Google对打击共用基础设施可能产生的影响所作的估计，并非已确认的清理设备数量。
对用户而言，最重要的实际结论很简单：如果电视盒来自不明渠道，或使用Videostrong固件，卸载应用并重启并不能可靠地证明设备已无感染。核实型号和来源，随后更换设备或采用经过确认的固件恢复方案，比手动删除某个可见组件更有依据。
