- 一个由130万台安卓硬件预装恶意软件构成的住宅代理僵尸网络被揭露。
- 研究人员指出，设备制造商 Videostrong 故意植入恶意软件，并向网络犯罪分子出售僵尸网络访问权限。
- Google 已接管相关基础设施，吊销该公司 Android 认证资格，并强化了设备安全检查机制。
Google 近日披露了其在拆除大规模住宅代理网络及配套恶意软件行动中的角色。该网络的构建者是一家看似合法的设备制造企业。
Google 在官方博客中表示，通过与多方合作伙伴协作，成功拆除了名为 XCPE 的后门程序。该恶意软件主要用于广告欺诈、作为其他恶意软件的注入源，以及将受感染设备纳入非法住宅代理网络。
据 Google 统计，共有超过 130 万台机顶盒被卷入这一网络。
非供应链攻击，系厂商主动行为
虽然恶意住宅代理网络并不罕见，且时常被安全机构拆除，但此次事件具有特殊性：恶意软件直接预装在 Android 设备上。这意味着消费者在购买时，误以为自己获得的是来自合法且经 Google 认证厂商的产品。
与以往案例不同，此次涉事公司不仅知情，还积极参与恶意软件的开发。
设备制造商故意向用户设备植入恶意软件，构成了对用户信任的严重违背。
Videostrong 实际上从事双重销售业务：表面上向消费者出售 Android 智能手机及类似设备，暗地里则向网络犯罪分子出售僵尸网络资源。
在此次联合行动中，参与方除 Google 外，还包括日本国家警察局、Lumen、HUMAN Security、Plume、Synthient 以及 TrendAI 等机构与公司。
威胁行为者对住宅代理僵尸网络的需求持续存在。此类网络可被用于发动分布式拒绝服务（DDoS）攻击、隐藏操作地址、进行大规模凭证填充、绕过地理限制以及大规模抓取网站数据等。目前尚不清楚 Videostrong 通过出售僵尸网络获取的具体收益金额，也不明确哪些客户使用了该服务。
切断 C2 通信与控制域名
为彻底破坏该恶意软件及其网络架构，Google 注销了 Videostrong 用于控制僵尸网络及加载恶意模块的域名和服务器。同时，Google 也禁用了通过 XCPE 后门作为模块加载的十余个恶意软件家族所使用的命令与控制（C2）域名。
此外，Google 宣布禁止 Videostrong 及其所有未来子公司或关联公司在 Android 生态系统中构建和销售设备，亦不得向其他认证供应商提供软件。
Google 表示，已改进针对认证 Android TV 设备的固件完整性检查流程，旨在防止涉及其他制造商的类似安全事件再次发生。
尽管 Google 要求原始设备制造商（OEM）必须通过一系列全面的兼容性和安全性测试，以确保 Android 生态系统内用户体验的一致性与安全性，但 Videostrong 利用模糊技术规避测试漏洞，在设备首次启动后加载恶意代码。鉴于此，Google 对其现有审查流程进行了修订，以更好地防范未来的类似活动。
这并非电子设备中首次发现预装恶意软件的情况。上月，安全研究机构 Bitdefender 曾发现多家制造商的 Android 手机存在类似问题。然而，在那起事件中，恶意软件是通过供应链渗透进入设备的，并未得到 OEM 厂商的知情或同意。
