谷歌、Plume、TrendAI™、Lumen、HUMAN Security、Synthient以及日本国家警察厅组成协调行动，结合安全研究、威胁情报和网络专业能力，识别并打击X.CPE僵尸网络。
美国加州山景城，2026年11月2日 /PRNewswire/ -- 今天，一组来自私营和公共部门的合作伙伴宣布，已协调清除X.CPE。这是一个全球性僵尸网络，隐藏在超过200个国家的130多万台机顶盒中。该恶意程序在设备出售之前就已被植入，利用订阅用户的设备和家庭互联网连接，在用户不知情或未同意的情况下运行。此次清除行动由谷歌、Plume、TrendAI™、Lumen、HUMAN Security和Synthient牵头，并得到了日本国家警察厅的参与。
谷歌威胁情报集团打击行动负责人Charley Snyder表示：“这类行动提高了犯罪分子的成本，也表明他们所依赖的基础设施并非触不可及。清除X.CPE需要行业合作伙伴共同协作。这证明，协作是我们应对跨越国界和行业威胁的最有力工具之一。”
一个熟悉的设备，隐藏着陌生的威胁
X.CPE被嵌入固件中，也就是控制设备基本运行的软件，而且是在机顶盒到达订阅用户家中之前就已植入。X.CPE被设计用来规避上市前的安全检查，谷歌此后已根据这一情况更新审核流程，并禁止相关原始设备制造商（OEM）及其未来的任何子公司或关联公司生产预装谷歌应用的设备。与依赖用户打开可疑附件或安装应用的感染不同，这一威胁是作为设备本身的一部分到来的。订阅用户没有收到同意请求、通知或退出选项。
谷歌、Plume、TrendAI™、Lumen、HUMAN Security和Synthient在日本国家警察厅的配合下，对X.CPE展开了协调打击行动。各机构分别发挥自身专长，利用联网设备安全、恶意软件分析、网络可见性和数字欺诈方面的能力，对该僵尸网络进行分析并破坏其运作。
这些机构共同拆除了一个隐藏在看似普通设备活动背后的威胁：嵌入电视机顶盒的软件为僵尸网络控制者提供远程访问权限，并使其能够在未经订阅用户同意的情况下利用家庭宽带连接。此次清除行动还破坏了运营犯罪关联方恶意软件模块的命令与控制域名。由于这些关联方还通过X.CPE之外的渠道分发其模块，谷歌认为，关闭这些域名将切断至少1000万台额外受感染设备的访问。
这一行动表明，将跨组织情报连接起来，对于应对跨越技术和网络边界的威胁至关重要。合作伙伴汇集了对受感染设备、恶意软件和互联网流量的不同视角，支持了这次协调清除行动，旨在破坏未经授权的访问和变现，并应对对订阅用户隐私、宽带资源以及联网设备信任带来的风险。
未经许可，把家庭宽带变成一门生意
该僵尸网络通过多种方式从受感染设备中获取收入，包括转售带宽、传送视频内容、广告欺诈、加载额外后门，以及在早期版本中安装付费应用。
对于服务提供商而言，这些发现凸显了供应链风险，而这种风险可能不会从设备的日常表现中显现出来。一台运行正常的流媒体盒子，仍可能产生无法解释的流量，并削弱人们对宽带服务的信任。
互补的专业能力，协调一致的行动
合作伙伴为谷歌主导的X.CPE清除行动提供了支持：
- TrendAI™：TrendAI™网络犯罪研究总监Robert McArdle表示：“我们赞赏谷歌果断采取行动清除此威胁。我们的研究识别出超过130万台设备受到此次活动影响。这意味着数百万家庭和企业完全不知道，他们的设备正在被当作活跃犯罪活动的附属工具——无论是欺骗广告商，还是通过住宅代理借用其连接来实施其他攻击——这通常还会包括冒充其所在地区人员进行身份盗窃。谷歌和研究伙伴的这一行动显著拖慢了这些攻击者，如果他们试图重建，我们的TrendAI研究将持续密切关注。”
- HUMAN：HUMAN首席信息安全官Gavin Reid表示：“受感染设备网络之所以能够维持，靠的是利润：运营者在未经同意的情况下控制设备和家庭连接，然后通过代理服务和各种欺诈活动将这种访问变现。正如这次行动所示，群体协作会切断实现变现所需的基础设施，提高运营这些网络的成本，并削弱支撑它们的激励。”
- Synthient：Synthient首席执行官Benjamin Brundage表示：“非法按安装付费网络为更大的欺诈生态系统提供了重要支柱，推动了从直接广告欺诈到未经监管的代理网络等各种活动，而这些网络又会推动凭证填充和DDoS僵尸网络。清除X.CPE有助于整体保护这一领域，也有助于保护遭受该计划侵害、毫不知情的消费者。”
研究与资源：
- Google: https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet
- Plume: http://www.plume.com/xcpe-botnet-whitepaper-pdf
- TrendAI™: https://www.trendaisecurity.com/en-us/resources-insights/trendai-security-blog/trendaitm-research-helps-disrupt-android-tv-botnet-of-more-than-13-million-pre-infected-devices
关于Plume
关于TrendAI™
TrendAI™是Trend Micro旗下的全球AI安全领导者和企业业务部门，帮助组织实现完整的AI可见性、治理和整合式安全，以增强信心、推动创新并消除风险。TrendAI™受到185个国家大型企业和政府机构的信赖，为整个组织提供保护，从身份到基础设施再到数据。全球财富500强公司依靠TrendAI™，借助世界领先的威胁与攻击情报，将威胁阻止时间提前最多115天。更多信息请访问trendaisecurity.com。
关于Lumen
Lumen Technologies通过其网络和技术服务连接人与数据及应用。其Black Lotus Labs威胁研究与运营团队利用全球网络可见性识别恶意活动、生成威胁情报，并帮助保护企业和互联网。更多信息请访问Lumen Technologies。
关于HUMAN Security
HUMAN Security帮助组织通过检测和阻断自动化威胁、欺诈和滥用来保护数字体验。其技术和威胁情报帮助企业和平台验证数字交互，并在客户旅程中建立信任。更多信息请访问humansecurity.com。
关于Synthient
Synthient提供用于识别住宅代理、VPN和僵尸网络基础设施的情报，帮助组织评估流量风险并调查滥用行为。其研究人员分析代理网络、僵尸网络和对手基础设施，以揭示新兴威胁。更多信息请访问Synthient。
