谷歌威胁情报小组宣布关闭一个名为 X.CPE 的大型僵尸网络，该网络鼎盛时期在超过 130 万台安卓电视设备上运行，这些设备均为通过谷歌认证的产品。涉事厂商是深圳视壮科技（Videostrong Technology），设备主要以 MECOOL 等品牌销售。谷歌称其采用混淆技术，使审核流程未能发现这一恶意软件。

攻击在出厂环节就已完成。设备完成设置并联网后，远程安装恶意软件：一个名为 x.cpe 或 com.oemservice 的存根应用会与服务器通信，该应用本身不具备任何恶意功能，但拥有系统级权限，可按运营者指令安装恶意软件模块；它还会禁用 Play Protect 防护，否则那些静默安装的包本会被标记为恶意。厂商还能完全控制这些设备，执行终端命令、截取屏幕画面、探测本地网络中的其他设备——谷歌曾实时观察到这类操作。

变现路径集中在设备的两个属性上：家庭真实住宅 IP 与长期不关机。大多数受感染设备被用于运行住宅代理、路由大量非法流量，或运行广告欺诈模块；此外还包括数据外泄、分发视频内容、加载额外后门与付费装机。谷歌称，该网络自 2024 年底起已从单阶段投放器演化为模块化的三阶段恶意软件平台，并持续更新配置以规避检测，因此判断这既不是某个内部人员擅自实施的孤立行为，也不是开发过程中的疏忽。

清除方式走的是法律路径。谷歌与日本国家警察厅、Synthient、趋势科技等机构合作，采取法律行动关闭了视壮科技用于运营和安装恶意软件的域名与服务器，同时打击了该公司运营的、与其他恶意软件活动关联的命令与控制服务器。谷歌估计，这一行动使约 1000 万台受感染设备与厂商失去联系，其中许多并非安卓设备。

设备侧仍有残留。Play Protect 依然处于禁用状态，休眠中的恶意软件模块仍以系统应用形式安装在设备里，用户难以轻易卸载。Synthient 已发布一份包含 182 个设备型号的清单，购买过 MECOOL 或来源不明的白牌安卓电视盒的用户可据此核实；趋势科技统计的受感染设备总数为 1472554 台，略高于谷歌的估算。谷歌已终止与视壮科技的合作，禁止其生产预装谷歌应用的设备，并承诺调整审查流程。