#广州[超话]#http://t.cn/AXPzWZBK
品牌名 MECOOL
由深圳视壮科技（Videostrong）出品，2026 年 11 月初谷歌与安全团队披露 XCPE（x.cpe）后门事件。
一、事件核心信息

谷歌威胁情报团队联合 Synthient、警方等披露：评估认为厂商在出厂固件内有意预埋后门，代号 XCPE / x.cpe，包名 com.oemservice，拥有系统级最高权限，受影响设备预估超 130 万台，MECOOL 是涉事品牌之一（典型型号：KM9 Pro Max 等）。

二、植入、激活原理

1. 预埋在固件分区：不是用户随便装 APP 中毒，出厂就内置。厂商用混淆手段绕过认证检测，开机之后才拉取、激活恶意载荷，规避测试。

2. 开机即激活通信：设备上电启动后，程序自动上报设备信息，连接 MQTT 指挥服务器，接收下发指令；就算手动卸载，重启后会从固件分区自动恢复，普通恢复出厂删不掉。

3. 激活之后能力：远程静默安装软件、截图、捕获按键、窃取账号与日志、执行命令；还会加载代理 SDK，把机顶盒变成住宅代理节点，用于广告欺诈、转发流量，运营商售卖设备控制权牟利；还会关闭 Play Protect 安全防护。

4. 服务器被切断：谷歌在 10 月底切断指挥控制服务器，但只是切断远程下发通道，后门代码还留在设备固件内，并未清除。谷歌永久禁止该厂商及其关联主体生产、销售带谷歌认证的安卓设备。

三、风险边界

• 不是全部 MECOOL 型号都中招：本次曝光集中在这批涉事固件版本，不能一刀切判定所有咪酷盒子全部带后门；但一旦属于该批次，风险很高。

• 不是第三方黑客入侵：调查报告评估是原厂蓄意开发部署，并非简单漏洞；厂商公开正式回应暂缺。

• 危害：如果放在家里、商铺内网，一旦激活，可能牵连同局域网其他设备；宽带 IP 被拿去做非法代理，还可能连带 IP 被封禁。

四、应急处理建议

• 如果手上是涉事机型：优先直接断网隔离；普通恢复出厂无效，若无官方干净固件重刷，稳妥方案是停用更换。

• 如果继续使用：单独隔离到独立网络，不和手机、收银、电脑共用局域网，封堵报告里的 C2 域名与端口。

• 采购机顶盒：尽量选择正规、可验固件、持续安全维护的品牌，避开来路不明低价盒子。