谷歌捣毁130万台机顶盒僵尸网络：合作厂商自己装的后门

IT之家 11 月 4 日消息，谷歌近日捣毁了一项大规模僵尸网络行动，涉案方是一家同时从事 OEM（原始设备制造商）和 ODM（原始设计制造商）业务的硬件企业。这起事件的特别之处在于：后门不是外挂进去的，而是设备出厂前就预装在里面了。

事情有多大

据披露的信息，这批后门藏在约 130 万台安卓机顶盒中。这些机顶盒通过正规销售渠道流入市场，用户拿到手时，看起来就是一台普通的电视盒子。但当设备联网后，预装的后门可以远程接收指令，让设备沦为僵尸网络的节点。

为什么这件事值得普通用户关注？因为它打破了两个常见认知。

认知一：正规渠道就是安全的

大多数人的直觉是：京东、天猫上买的品牌机顶盒，不会有什么问题。但这批设备恰恰说明，如果 OEM/ODM 环节被渗透，销售渠道越正规，污染的量反而越大。

对厂商来说，硬件是采购的、固件是代工的、渠道是分销的——链条越长，审计越难。用户面对的设备，其实是一整条供应链的「黑箱」。

认知二：被植入后门 ≠ 马上出事

这 130 万台设备长期保持「正常使用」状态，看视频、装 App 都没有异常，直到安全团队从流量特征中发现它们统一对外通信，才顺藤摸瓜定位到源头。

对用户而言，这意味着被入侵的设备可能早就存在，只是没被发现。判断自己设备是否异常，可以看几个信号：

• 待机时上行流量明显偏高
• 固件无法正常更新，或更新来源不明
• 设备发热异常（后台在跑算力任务）

谷歌的处理方式和遗留问题

谷歌的措施是切断该僵尸网络的指挥链路，让受控设备无法接收指令。但硬件层面的后门无法远程清除——理论上用户只能通过刷写干净的第三方固件来彻底解决问题，而这对普通用户来说门槛不低。

延伸思考

这类事件不是孤例。近年公开披露的供应链攻击中，「预装后门」出现的频率在上升。对小厂代工的产品，尤其是一些没有正规品牌背书的白牌设备，用户的风险敞口明显更大。

如果你家里有来路不明的电视盒子、路由器、摄像头，建议检查一下固件更新记录，能刷官方固件的刷官方固件，不能刷的，考虑换掉。