Google 威胁情报小组（Threat Intelligence Group）近日宣布，已成功摧毁一个名为 x.cpe 的大型僵尸网络。据披露，该僵尸网络在鼎盛时期曾控制超过 130 万台经过 Google 认证的安卓电视设备。
针对恶意软件为何能绕过检测的问题，Google 方面解释称，这主要归因于硬件制造商 Videostrong 所采用的“掩盖技术”，导致其安全扫描流程未能及时识别出相关恶意代码。
在一篇详细的技术博客文章中，威胁情报小组揭示了 x.cpe 的演变路径：它最初仅是一个单阶段的下载器（dropper），随后迅速升级为具备模块化特征的三阶段恶意软件平台。虽然制造商若想获取 Google 应用生态及品牌授权必须通过设备认证，但大量以 MECOOL 品牌销售的 Videostrong 盒子却利用后门机制，在设备出厂设置及上线后远程植入恶意软件，从而规避了监管检测。
具体而言，当这些受损设备联网后，一个名为 x.cpe（或标识为 com.oemservice）的小程序会向服务器发送信号。尽管该软件包本身不包含直接的恶意功能，但它拥有必要的系统级权限，能够根据指令安装其他恶意程序。此外，该组件还会禁用 Play Protect 安全服务，防止被标记为恶意软件并遭到拦截。
