130万台电视盒子，出厂那天就被人装了后门

130万台电视盒子，出厂那天就被人装了后门

你家客厅那台电视盒子，可能正在给别人打工。

11月2日，Google威胁情报小组发了一份报告，点了一个深圳公司的名：Videostrong，中文名威视达康，旗下品牌MECOOL，不少人买过他家电视盒子。Google说，这家公司在出厂固件里就预装了一个叫XCPE的后门，130多万台设备，遍布200多个国家和地区。

这个后门的藏法很讲究。它躲在系统底层，用户在设置里删掉，重启之后它自己又长回来。第一次开机还会先装个干净版本应付Google的认证测试，等测试过了，再悄悄把真家伙下载回来。2024年底就开始了，一直演到2025年底，Synthient买了一台MECOOL KM9PRO Max拆开才坐实，调查期间有50万台左右一直在线。

装后门不是为了偷看你追什么剧。Videostrong把这些盒子的控制权打包卖给了犯罪集团，买家拿去干三件事。把你家宽带变成住宅代理，替别人转发流量。顺手刷广告骗钱。还能远程装别的恶意程序。日本2024年1918起不正当汇款案里，用的就是这种住宅代理。

10月最后一周，Google联合日本警察厅和Lumen、TrendAI等几家公司动手，封了XCPE的控制服务器。这一下不光130万台断了线，顺带还切断了另外1000多万台受影响设备的连接。Google同时宣布，终止和Videostrong的一切合作，禁止它再生产任何带Google认证的设备。

但有个尾巴收不掉：控制服务器封了，盒子固件里的后门还在。只要不刷机，它就一直在那儿。

这也不是头一回。2025年的BADBOX 2.0，同样是出厂预装的后门，222个国家和地区都发现了它的通信。电视盒子这个品类，早就成了黑产眼里的肥肉。

130万台，200多个国家，从出厂那天起就不是你的盒子。花钱买的设备，电费网费都是你出，算力归别人。这买卖做得，比卖盒子本身赚钱多了。