Android機上盒遭植入XCPE後門：台灣觀測逾8.8萬台，如何檢查與處理？

（媒角抵加／林承志綜合報導）家中的Android電視機上盒可能在購買前就被植入惡意程式。Google威脅情報團隊11月2日公布，名為XCPE的後門曾將全球超過130萬台機上盒納入殭屍網路。趨勢科技企業資安部門TrendAI的研究圖表顯示，2026年6月3日至10月1日，台灣觀測到88,350台受影響設備。研究人員已公開曾出現的型號名稱，使用者可先核對設備、必要時斷網，並向銷售商或製造商確認處理方式。

關鍵資訊

• 事件：Google與資安機構、日本警察廳合作，干擾XCPE殭屍網路的控制基礎設施。
• 台灣數字：TrendAI研究圖表顯示，2026年6月3日至10月1日觀測到88,350台設備；這是研究期間的觀測值。
• 全球規模：Google表示超過130萬台機上盒曾被納入XCPE；TrendAI在不同觀測範圍中記錄到147萬餘台、206種型號。
• 如何查詢：Synthient研究資料的型號清單列出曾觀測的型號名稱；名稱相同本身不足以確認單一設備感染。
• 有疑慮時：先讓可疑設備離線，記下型號與韌體資訊，向供應商確認；若已確認感染且無可信修復方式，可考慮更換設備。

8.8萬台從哪裡來？統計涵蓋數月，不是即時上線數

TrendAI表示，研究團隊於2026年6月3日至10月1日間歇性蒐集資料，觀測到全球1,472,554台受感染設備、206種型號，涵蓋170多個國家與地區。研究報告的地區圖表列出台灣88,350台；馬來西亞、巴西、伊拉克與墨西哥也名列前段。

這個數字來自研究期間的設備觀測，並非台灣主管機關對目前在線設備的清點。Google的「超過130萬台」與TrendAI的觀測數採不同資料範圍與時間，不宜相加；TrendAI也指出，間歇蒐集使其數據屬觀測下限。

機上盒如何被利用？Google指向製造商預載後門

Google研究報告以高信心評估，中國Android設備製造商Videostrong Technology為牟利，刻意開發、部署並經營XCPE後門，將存取權提供給其他犯罪參與者。這是Google根據調查提出的歸因；受影響設備涉及多個品牌與型號。

Google表示，後門可使設備接收遠端指令，相關模組被用於廣告詐欺、載入其他惡意程式，以及未經同意將家用網路加入住宅代理網路。住宅代理會讓第三方流量經由設備所在的網路連線對外傳送。這些是研究團隊觀察到的用途，個別設備實際受到的影響仍需逐案確認。

Google已對控制網域與伺服器採取措施，並停止與Videostrong合作、禁止其及未來關係企業製造經認證的Android設備或向其他認證廠商供應軟體。Google另表示，部分受影響設備曾通過認證測試，惡意程式利用混淆與首次開機後載入等方式避開檢查；公司已調整審查流程。

家裡的機上盒怎麼查？型號清單是線索

可先查看機身標籤、包裝、購買紀錄，或在設備「設定」中的裝置資訊頁記下品牌、型號及系統版本；不同設備的選單名稱可能不同。接著查看Synthient公布的型號清單，並將資訊提供給原銷售商或製造商查詢。

Synthient說明，清單列的是這次行動中觀測到的型號字串，單憑名稱相同不足以確認手上的個別設備已受感染。部分名稱較通用，同名設備可能來自不同供應鏈；清單也不是涵蓋所有風險設備的保證。

如果設備來源不明、與研究線索相符，或供應商無法釐清，可先拔除網路線、關閉Wi-Fi或關機，暫停使用並詢問供應商。若是電信業者提供或租用的機上盒，可提供型號請客服確認，並詢問檢測、更換或退換方式。

恢復原廠設定有用嗎？先斷網並確認修復方式

Google指出，研究中部分XCPE後門位於韌體分區，使用者移除程式後，重新開機時可能再次安裝。TrendAI也表示，控制伺服器遭移除不會自動清除已售設備內的植入程式。一般的解除安裝或恢復原廠設定，因此無法保證清除這類韌體層後門；處理前可向供應商確認是否有可信的修復方案。

如曾在可疑設備登入Google或串流服務，可改用另一台可信設備檢查登入紀錄與帳號安全設定；Google帳戶裝置管理說明提供遠端登出裝置的步驟。若發現不明登入或懷疑帳號遭他人使用，可依Google帳戶安全指引更換密碼並檢查安全活動。

資料來源與更新紀錄

• Google威脅情報團隊：XCPE殭屍網路研究，2026年11月2日發布。
• TrendAI：XCPE研究與地區設備觀測圖表，2026年11月5日查閱。
• Synthient：Videostrong研究及觀測型號，2026年11月5日查閱。
• Google帳戶說明：查看可存取帳戶的裝置，2026年11月5日查閱。
• 2026年11月5日：依原始資安研究、型號清單與帳戶安全說明撰稿。