Google 揭露 XCPE 殭屍網路後，資安業者 TrendAI 公布 6 月 3 日至 10 月 1 日的觀測：全球約 147 萬台 Android 裝置受感染，涵蓋 206 種型號，臺灣約 8.8 萬台、排名全球第 5 [1]。後門直接預載於裝置韌體，使用者難以透過更新或移除 App 清除；受感染裝置被用作常駐代理節點與廣告詐欺 [1]。來源不明的 Android 機上盒建議停用或更換 [1]。
中進行中研究者揭露
XCPE 殭屍網路：Android 機上盒出廠即預載後門，臺灣約 8.8 萬台裝置受感染、全球第 5
閱讀約 1 分鐘
- 揭露
- 2026年11月4日
- 發布
- 2026年11月7日
- 最後更新
- 2026年11月6日
- 影響規模
- 1,470,000 台設備[1]
- CVSS 依據
- 本站評估
- 技術 / 系統類型
- 初始入侵方式
- 影響
- 攻擊者類型
- 動機
- MITRE ATT&CK 技術
本頁內容
30 秒摘要
事件時間軸
- TrendAI 公布各地感染規模[1]
技術細節
發生什麼
Google 威脅情報小組 11 月 3 日公布對 XCPE 的法律與技術處置：後門由製造商 Videostrong 預載於韌體，若被移除會在重開機後自 /oem/ 分割區重新安裝；Google 已撤下其 C2 網域並禁止該公司生產認證 Android 裝置 [2]。iThome 報導，XCPE 的特殊之處在於後門由設備供應商在出廠前植入韌體，裝置交付時即遭控制；TrendAI 觀測期間記錄到相關基礎設施逾 384 萬個 IP 位址，顯示裝置被大規模用作代理網路節點 [1]。
臺灣影響
受感染數量以馬來西亞 30 萬台最多，其次巴西 15 萬、伊拉克 12 萬，臺灣 8.8 萬台名列第 5；裝置以 Android 電視機上盒為主，也包括投影機 [1]。
我們的分析
以下為本站觀點，非來源陳述。
企業網路若允許員工或會議室自帶的廉價機上盒上網，等於在內網放了一個外部可控的代理節點。建議將此類裝置隔離在訪客網段，並監控對外的異常持續連線。
修復指引
廠商建議
- 1盤點來源不明的 Android 機上盒與投影機 detect[1]
記下型號與韌體，查詢供應商是否在受影響名單
本站補充
- 1隔離或更換 mitigate[1]
後門預載於韌體，恢復原廠設定無法清除；企業環境建議直接更換，並將此類裝置放在獨立網段
參考來源
研究機構1
- [2]
“it automatically reinstalls from the /oem/ partition upon reboot”
媒體報導1
- [1]
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。