作者 | 予浠
编辑 | 子彤
下班回家打开电视盒子追剧，是许多家庭的日常。然而，这个看似普通的设备可能出厂即自带隐患：用户缴纳的宽带费用，可能在不知情的情况下被用作他人的网络出口，产生额外流量损耗。
谷歌发布的一份安全报告，将电视盒子背后的黑色产业链推至台前。
130万台认证盒子被点名，风险出厂即埋入固件
谷歌威胁情报团队于11月2日发布报告，披露名为“x.cpe”的僵尸网络。该网络峰值控制超过130万台经谷歌认证的安卓电视设备，遍布全球200多个国家和地区。受影响较重的地区包括马来西亚、巴西、伊拉克和墨西哥，美国、德国、英国等发达国家亦有数万台设备在线。
XCPE受影响设备全球分布，图源谷歌报告
报告直指深圳某科技公司旗下品牌。该企业兼具OEM、ODM及代工业务。谷歌认定，该“后门”由厂商主动设计、部署并运营，非员工失误或开发漏洞所致。
该手段之所以能绕过常规检测，是因为厂商利用代码混淆技术，使盒子在认证审查阶段不暴露恶意特征。设备首次联网后，再从远程加载恶意模块。更棘手的是，后门植入底层固件，即便恢复出厂设置，重启后依然自动复原，普通用户无法彻底清除。
XCPE恶意软件传导链路，图源谷歌报告
目前，谷歌联合日本警察厅及多家网络安全机构，已切断该僵尸网络的控制服务器和域名，并永久取消涉事公司的谷歌安卓认证资质。这意味着该公司不再被允许生产销售预装谷歌服务的认证电视设备，也无法获得相关软件支持。
截至发稿，涉事厂商尚未公开回应。
家庭宽带沦为代理节点，黑产四层变现链条曝光
这130万台盒子的利用逻辑如下：厂商在出厂固件中预埋模块，设备联网后自动注册进僵尸网络，远程加载恶意程序，将家庭宽带的公网IP转化为住宅代理节点，再由代理调度平台对接黑产买家。
该灰色产业链的收入主要分为四层：
● 第一层：出售设备访问权限。黑产买家直接租用接入权，无需自行入侵设备；
● 第二层：转租住宅IP。按流量或时长提供给大规模网页访问、数据采集、账号注册、绕过IP风控及匿名流量转发等业务；
● 第三层：广告欺诈。后台偷偷刷广告曝光量和点击量；
● 第四层：窃取信息。远程监控、窃取账号密码，并进一步植入其他恶意软件。
黑产青睐普通家庭IP，源于住宅IP的高信誉度。在登录验证、支付风控、广告计费等环节，住宅IP比机房IP更易被系统判定为正常用户，难以被识别拦截。因此，客厅里的电视盒子成为了黑产的优质出口节点。
此类事件并非孤例。此前安全机构曾披露BADBOX 2.0僵尸网络，约100万台低价安卓TV盒子、流媒体棒等设备被控制，用于广告欺诈和代理滥用；另有Popa僵尸网络控制约250万台安卓TV盒子，路由广告欺诈流量。早在2016年，Mirai僵尸网络便通过弱口令和未修补漏洞，批量控制摄像头、路由器等IoT设备发起DDoS攻击。
此类案件需区分两类路径：一是出厂预装，供应链环节主动埋设后门，如本次谷歌曝光的案件；二是设备交付后，因漏洞和弱口令被外部入侵。前者责任指向厂商，后者则反映设备安全基线薄弱。
住宅代理技术本身并不违法，问题在于设备主人完全不知情，家庭网络资源被非法牟利，收益流向厂商和黑产一方。
公模贴牌层层转手，品牌代工渠道责任边界模糊
安卓电视盒子是跨境3C领域中白牌、贴牌、代工混杂的典型品类。同一套公模硬件和固件，可能贴上多个品牌，在不同渠道销售。在OEM和ODM模式下，品牌方、代工厂、渠道商之间的链条冗长，责任容易模糊。
代工厂负责硬件生产和固件开发，品牌方贴牌销售，渠道商负责终端售卖。环节增多导致责任界定困难：固件源码和后门由谁添加？品牌方是否掌握完整固件？认证由谁提交和维护？出现安全问题时，谁对消费者承担售后和赔偿？在实际操作合同中，这些往往缺乏清晰划分。品牌方可能仅采购成品贴牌，渠道商只核对参数和认证标识，难以洞察固件层面的隐秘操作。
谷歌安卓认证和预装谷歌服务本应是消费者的第一道防线。但本案证明，认证环节可被混淆技术绕过。拿到认证不等于固件完全干净，平台背书不能替代供应链层面的实质核验。
此类案件追溯难度大。虽然此次处罚针对涉事厂商，但市面上同代工厂生产的其他品牌设备如何排查、品牌方和渠道商是否承担连带责任、跨境追责成本高昂等问题依然严峻。
这类品类的风险核心在于供应链透明度。若固件来源和工厂资质不透明，品控压力最终将转嫁给渠道和消费者。
把供应链安全做在前面，行业品牌应对建议
对于智能硬件和3C品类品牌，此起事件提供了以下警示：
第一，掌握固件和供应链知情权。品牌方不能仅采购成品贴牌，需在合作合同中明确核验代工厂的固件来源、预装模块及系统更新记录，避免固件源码和改动完全由工厂掌控，防止事后被动。
第二，在认证之外增加安全核验。安卓认证仅是入门门槛。品牌方在量产前应安排固件安全检测和第三方审计，确认设备上线后远程加载的模块清单，不将安全背书完全依赖平台认证。
第三，供应链文件留档可追溯。妥善归档工厂资质、采购合同、认证证书、固件版本和生产批次等信息。一旦出现安全通报，能快速定位涉及型号和批次，便于向消费者和合作渠道说明情况。
第四，远离灰色供货方和品类。捆绑非官方应用商店、固件长期不更新、单纯拼低价的公模产品安全风险更高。若合作代工厂卷入安全事件，在售产品和品牌信誉将受到连带波及。
品牌方若将固件和供应链完全交由工厂处理，虽看似省事，实则将风险留存自身。供应链安全非一方之力可成，但卖家作为直面消费者的一环，必须守好自身关卡。