Google smantella una botnet di 1,3 milioni di box TV infettati già in fabbrica

Google e i suoi partner hanno smantellato XCPE, una botnet di oltre 1,3 milioni di box Android TV, e hanno messo al bando il produttore cinese che, secondo Google, l'ha costruita. Il malware non è arrivato tramite un'app sbagliata o un attacco: era scritto nel firmware già in fabbrica. Il Threat Intelligence Group di Google (GTIG) afferma «con un alto grado di fiducia» che la backdoor è stata «sviluppata, distribuita e gestita intenzionalmente a scopo di lucro» da Videostrong Technology, un produttore che realizza box per molti marchi. Il rapporto è stato pubblicato il 2 novembre.

Una backdoor installata in fabbrica

I componenti principali, x.cpe e com.oemservice, girano con i privilegi di sistema di Android. Attraverso di essi gli operatori potevano installare app di nascosto, disattivare Google Play Protect, eseguire comandi, fare screenshot, simulare la pressione di tasti e raccogliere dati sugli account e sul dispositivo. Se il malware viene rimosso, si reinstalla dalla partizione /oem/ al riavvio, quindi il ripristino ai dati di fabbrica non serve. Secondo Google, il codice è stato inserito in «molti modelli e marchi diversi per diversi anni», ed è un'attività deliberata, non «l'azione isolata di un dipendente infedele o una svista di sviluppo».

La società di sicurezza Synthient, uno dei partner, ha acquistato a fine 2025 un box MECOOL KM9PRO Max e vi ha trovato il malware già installato, riporta BleepingComputer. Su un server aperto della botnet ha trovato anche documenti del direttore ricerca e sviluppo di Videostrong, e le backdoor erano firmate con indirizzi email dell'azienda. La maggior parte dei dispositivi infetti sono box TV, ma Google ha trovato la backdoor anche in apparecchi di telemedicina, macchine per il karaoke e schermi di digital signage. La botnet è diffusa in tutto il mondo e Google non ha pubblicato una ripartizione per Paese.

Come i box facevano guadagnare altri

Secondo Google, Videostrong vendeva l'accesso alla backdoor ad «affiliati» criminali e caricava i loro moduli sui box. Alcuni trasformavano i dispositivi in nodi di uscita di reti di proxy residenziali: il traffico di sconosciuti usciva dalla connessione di casa e dall'indirizzo IP del proprietario. Google cita tra i servizi proxy coinvolti Linkfog, AppSalt/Honeygain, GaGaNode, NetNut e Traffmonetizer, tra gli altri. Un SDK, scrive Google, spuntava da solo la casella del consenso «senza mostrare alcuna interfaccia». Altri moduli commettevano frodi pubblicitarie caricando pagine nascoste e registrando visualizzazioni false, e alcuni installavano ulteriori backdoor che Google aveva già collegato all'operazione BadBox.

Per il proprietario non è solo un box lento. Il suo indirizzo IP compare in traffico che non ha mai inviato, il che può portare a captcha, account bloccati e sospetti per attività con cui non ha nulla a che fare.

Cosa ha fatto Google

Insieme all'Agenzia nazionale di polizia del Giappone e alle società Lumen, HUMAN Security, Plume, Synthient e TrendAI, Google ha avviato un'azione legale per abbattere i domini e i server con cui veniva controllata XCPE. Nel mirino sono finiti anche i server di comando di oltre una decina di famiglie di malware caricate tramite la backdoor, il che taglia fuori almeno altri 10 milioni di dispositivi infetti. Google ha interrotto i rapporti con Videostrong e ha vietato all'azienda e a ogni sua futura affiliata di produrre dispositivi Android certificati o fornire software a produttori certificati. L'azienda ammette che Videostrong ha usato tecniche di offuscamento per aggirare i test di certificazione e caricare il codice malevolo dopo il primo avvio, e dice di aver cambiato la procedura di verifica.

Come proteggersi

• Acquistate box TV solo di marchi presenti nell'elenco dei partner Android TV certificati di Google. I box economici senza marca venduti sui marketplace sono i più a rischio. Come dimostra questo caso, la certificazione non è una garanzia assoluta, ma resta il miglior filtro disponibile.
• Se avete un MECOOL KM9PRO Max o un altro box sospetto, il ripristino non serve: il malware torna dalla partizione di sistema. Scollegatelo subito da internet e pianificate la sostituzione con un modello certificato: un box che non si può ripulire non è sicuro da usare.
• Tenete attivo Google Play Protect e installate app solo da store di cui vi fidate.
• Evitate le app che pagano per la «banda inutilizzata» o per «condividere internet». È proprio così che i proxy residenziali reclutano dispositivi.
• Controllate nel router l'elenco dei dispositivi connessi e le statistiche del traffico. Un box che invia molti dati a TV spenta è un campanello d'allarme. La nostra guida spiega come verificare se un box TV lavora per qualcun altro.

Non è il primo caso del genere. In estate abbiamo raccontato dei 120.000 box Android TV che affittavano la connessione di casa dei proprietari e dello smantellamento della botnet proxy NetNut. XCPE è più grande, e questa volta Google punta il dito contro il produttore stesso.