由日本国家警察局牵头，Google、Lumen、Human Security、Plume、Synthient 及 TrendAI 等多家私营安全机构组成的联盟，近期成功瓦解了名为 XCPE 的僵尸网络。
调查结论显示，该后门程序及僵尸网络系人为故意开发、部署并运营。核心涉事方为位于中国深圳的硬件制造商 Videostrong（视频强科技）。该公司主要生产安卓电视盒及投影机等设备。据 Google 披露，Videostrong 在设备固件中预装了 XCPE 后门，并将访问权限出售给犯罪关联公司，使其能够安装额外的恶意软件模块。当用户将此类设备接入家庭网络后，预装的后门即被激活，用于构建代理网络以隐藏恶意流量。
TrendAI 进一步分析指出，该固件中预装的管理代理本质上是一个标准的远程管理客户端。它通过 GitHub 页面获取更新，并连接至消息队列遥测传输（MQTT）服务器。这一机制赋予运营商对每台受感染设备的完全控制权，包括安装或卸载应用程序、修改系统设置以及推送更新。
数据显示，在 6 月 3 日至 10 月 1 日期间，TrendAI 记录了超过 380 万个与该行动相关的独立家庭和移动 IP 地址。此次行动还摧毁了用于管理附属模块的命令与控制域名。根据 GTIG 的说法，这些关联公司已在 XCPE 之外多样化了其模块的分发渠道。
目前，Google 已切断与 Videostrong 的联系，并禁止该 OEM 厂商制造预装 Google 应用程序的设备。截至发稿时，Videostrong 未就 The Register 的询问作出即时回应。
值得注意的是，XCPE 后门及僵尸网络操作属于 BadBox 2.0 生态系统的一部分。BadBox 2.0 是另一个臭名昭著的僵尸网络，曾在 2025 年 3 月被 Human Security、Google 和 TrendAI 联合破坏前，感染了超过 1000 万台电视机及其他设备。
