谷歌、Plume、TrendAI™、Lumen、HUMAN Security、Synthient 與日本國家警察廳組成協調行動，結合安全研究、威脅情報和網絡專業能力，識別並打擊 X.CPE 僵屍網絡。
美國加州山景城，2026年11月2日 /PRNewswire/ — 今天，一組來自私營和公共部門的合作伙伴宣布，已協調清除 X.CPE。這是一個全球性殭屍網路，隱藏在超過 200 個國家的 130 萬多台機頂盒中。該惡意程式在設備出售之前就已被植入，利用訂閱用戶的設備和家庭互聯網連接，在用戶不知情或未同意的情況下運行。此次清除行動由谷歌、Plume、TrendAI™、Lumen、HUMAN Security 和 Synthient 牽頭，並得到了日本國家警察廳的參與。
谷歌威脅情報集團打擊行動負責人 Charley Snyder 表示：「這類行動提高了犯罪分子的成本，也表明他們所依賴的基礎設施並非觸不可及。清除 X.CPE 需要行業合作夥伴共同協作。這證明，協作是我們應對跨越國界和行業威脅的最有力工具之一。」
一個熟悉的設備，隱藏著陌生的威脅
X.CPE 被嵌入固件中，即控制設備基本運行的軟體，且在機頂盒抵達訂閱用戶家中之前就已植入。X.CPE 被設計用來繞過上市前的安全檢查，谷歌此後已根據此情況更新審核流程，並禁止相關原始設備製造商（OEM）及其未來的任何子公司或關聯公司生產預裝谷歌應用的設備。與依賴用戶打開可疑附件或安裝應用的感染不同，此威脅是作為設備本身的一部分到來的。訂閱用戶未收到任何同意請求、通知或退出選項。
谷歌、Plume、TrendAI™、Lumen、HUMAN Security 與 Synthient 在日本國家警察廳的配合下，對 X.CPE 展開了協調打擊行動。各機構分別發揮自身專長，利用聯網設備安全、惡意軟體分析、網路可見性及數位欺詐方面的技術，對該僵尸網路進行分析並破壞其運作。
這些機構共同消除了隱藏在看似普通設備活動背後的威脅：嵌入電視機頂盒的軟體為殭屍網路控制者提供遠端存取權限，並使其能在未經訂閱用戶同意的情況下利用家庭寬頻連接。此次清除行動還破壞了運營犯罪相關方惡意軟體模組的命令與控制域名。由於這些相關方還透過 X.CPE 以外的渠道分發其模組，谷歌認為，關閉這些域名將切斷至少 1000 萬台額外受感染設備的存取。
這一行動表明，將跨組織的情報連接起來，對於應對跨越技術和網路邊界的威脅至關重要。合作夥伴匯集了對受感染設備、惡意軟體和網際網路流量的不同視角，支持了這次協調清除行動，旨在破壞未經授權的存取和變現，並應對對訂閱用戶隱私、寬頻資源以及聯網設備信任所帶來的風險。
未經許可，將家庭寬頻變為一門生意
該僵尸網路透過多種方式從受感染設備中獲取收入，包括轉售頻寬、傳送影片內容、廣告欺詐、載入額外後門，以及在早期版本中安裝付費應用。
對於服務提供商而言，這些發現凸顯了供應鏈風險，而這種風險可能不會從設備的日常表現中顯現出來。一台運行正常的流媒體盒子，仍可能產生無法解釋的流量，並削弱人們對寬帶服務的信任。
互補的專業能力，協調一致的行動
合作夥伴為由谷歌主導的 X.CPE 清除行動提供了支援：
- TrendAI™：TrendAI™網路犯罪研究總監 Robert McArdle 表示：「我們讚賞谷歌果斷採取行動清除此威脅。我們的研究識別出超過 130 萬台設備受到此次活動影響。這意味著數百萬個家庭和企業完全不知情，他們的設備正被當作活躍犯罪活動的附屬工具——無論是欺騙廣告商，還是透過住宅代理借用其連線來實施其他攻擊——這通常還包括冒充其所在地區人員進行身份盜竊。谷歌與研究夥伴的這一行動顯著拖慢了這些攻擊者，如果他們試圖重建，我們的 TrendAI 研究將持續密切關注。」
- HUMAN：HUMAN 首席資訊安全官 Gavin Reid 表示：「受感染設備網絡之所以能夠維持，靠的是利潤：運營者在未經同意的情況下控制設備和家庭連接，然後透過代理服務和各種欺詐活動將這種訪問變現。正如這次行動所示，群體協作會切斷實現變現所需的基礎設施，提高運營這些網絡的成本，並削弱支撐它們的激勵。」
- Synthient：Synthient首席執行官Benjamin Brundage表示：「非法按安裝付費網絡為更大的欺詐生態系統提供了重要支柱，推動了從直接廣告欺詐到未經監管的代理網絡等各種活動，而這些網絡又會推動憑證填充和DDoS殭屍網絡。清除X.CPE有助於整體保護這一領域，也有助於保護遭受該計劃侵害、毫不知情的消費者。」
研究與資源：
- Google：https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet
- Plume：http://www.plume.com/xcpe-botnet-whitepaper-pdf
- TrendAI™：https://www.trendaisecurity.com/en-us/resources-insights/trendai-security-blog/trendaitm-research-helps-disrupt-android-tv-botnet-of-more-than-13-million-pre-infected-devices
關於 Plume
關於 TrendAI™
TrendAI™ 是 Trend Micro 旗下的全球 AI 安全領導者及企業業務部門，協助組織實現完整的 AI 可見性、治理與整合式安全，以增強信心、推動創新並消除風險。TrendAI™ 受到來自 185 個國家的大型企業和政府機構信賴，為整個組織提供保護，從身份到基礎設施再到數據。全球財富 500 強企業依賴 TrendAI™，借助世界領先的威脅與攻擊情報，將威脅阻擋時間提前最多 115 天。更多資訊請訪問 trendaisecurity.com。
關於 Lumen
Lumen Technologies 透過其網路與技術服務，連接人們與資料及應用程式。其 Black Lotus Labs 威脅研究與運營團隊利用全球網路可見性，識別惡意活動、生成威脅情資，並協助保護企業與互聯網。更多資訊請訪問 Lumen Technologies。
關於 HUMAN Security
HUMAN Security 透過檢測和阻斷自動化威脅、欺詐和濫用，幫助組織保護數位體驗。其技術與威脅情報協助企業和平台驗證數位互動，並在客戶旅程中建立信任。更多資訊請訪問 humansecurity.com。
關於 Synthient
Synthient 提供用於識別住宅代理、VPN 和殭屍網路基礎設施的情報，協助組織評估流量風險並調查濫用行為。其研究人員分析代理網路、殭屍網路和對手基礎設施，以揭示新興威脅。更多資訊請訪問 Synthient。