认证盒子藏后门，千万设备被波及

今天看到Google对深圳Videostrong的处理决定，说实话并不意外，但细节还是让人后背发凉。这家厂商做的是通过官方认证的Android TV盒子，不是那种华强北山寨货，消费者买的时候默认它已经过了安全审核。结果调查发现，后门不是个别员工手滑，而是一套运行多年的完整基础设施，有服务器、有规避检测机制，还能持续管理下游合作伙伴。

最让我在意的是绕过认证的手法：出厂时预置隐藏代码，用混淆技术躲过测试，等用户首次开机才下载或激活恶意模块。这意味着认证实验室拿到的样机和用户实际拿到的设备，行为可能完全不一样。Google自己也承认认证体系存在空白区域，现在要升级固件和后续软件行为的验证能力。但问题是，这种「先过审、后变脸」的模式，靠出厂前的一次性检测本来就很难堵住。影响范围比普通恶意软件大得多。安全机构统计受影响设备集中在Android TV和Google TV盒子，Mecool品牌被点名为重点对象，另外数字标牌、卡拉OK设备、远程医疗终端也发现了相同组件。这些设备系统权限高，可以被用来装额外恶意软件、做广告欺诈、搭代理网络，甚至纳入僵尸网络。用户完全不知情，盒子就在那儿替别人跑流量。Google的动作算果断：终止合作、禁止Videostrong及关联企业未来生产预装Google应用的认证设备，也不许它们给其他认证厂商提供软件服务，同时对控制僵尸网络的域名和服务器发起法律行动。官方估计切断了至少1000万台额外设备与攻击者的通信渠道。这个数字听着解气，但也说明之前铺货规模有多大。我的判断是，这件事对做跨境硬件的朋友是个明确信号：认证不是免死金牌，供应链上的软件服务商同样要被审视。品牌方如果只管贴牌出货、不查方案商的固件行为，出事时背锅的是自己的牌子。另外，已经买了这类盒子的用户，最好关注厂商有没有推送干净固件，别指望关掉服务器就万事大吉，本地残留的模块照样可能作妖。