谷歌捣毁130万台安卓机顶盒僵尸网络：给数码爱好者的自查清单

IT之家 11 月 4 日消息，谷歌近日捣毁了一项大规模僵尸网络行动，一家同时从事 OEM 和 ODM 业务的厂商在约 130 万台安卓机顶盒中预装了后门。作为数码爱好者，这件事除了吃瓜，更值得做的是给自己手上的设备做个体检。

一、后门是怎么进去的

安卓机顶盒的生产链条通常是：芯片方案商提供 SDK → 代工厂基于 SDK 定制固件 → 贴片组装 → 出货。后门植入的最佳时机是「固件定制」阶段——这一步只有少数工程师经手，且固件镜像打包后直接烧录，中间几乎没有审计环节。

这批设备的行为特征是：联网后会连接特定的指挥服务器，接收任务指令，主要用于流量代理和算力任务。普通用户在界面上看不到任何痕迹。

二、自查清单

第一步：确认设备来源
正规品牌（小米、天猫魔盒、当贝等）且从官方渠道购买的，风险低；白牌设备、电视柜台赠品、直播间 9.9 元包邮的，风险高；来源不明的「海外版」「外贸机」，直接怀疑。

第二步：检查固件更新
进设置看「系统更新」，正常品牌会有 OTA 记录。如果显示「已是最新」但版本号从没变过，或者更新包来源是非官方域名，警惕。

第三步：查流量
路由器后台看设备的上行流量，待机时持续高于 1MB/h 值得怀疑。部分路由器可以看连接的域名列表，出现陌生域名的重点排查。

第四步：刷机或淘汰
高风险设备：优先刷第三方干净固件（部分机型有民间 ROM）；不支持刷机的：直接淘汰，尤其是已经用了 3 年以上的白牌盒子。

三、顺带一提

这次事件的另一个启示：DNS 层面的防护比设备层面的杀毒更有效。家里路由器如果支持自定义 DNS，可以把解析请求指向带恶意域名过滤的服务（如 AdGuard DNS），能在设备已经中毒的情况下阻断外联。