Google, insieme a società di sicurezza e alla polizia giapponese, ha smantellato X.CPE, una botnet di oltre 1,3 milioni di dispositivi, per la quasi totalità TV box con Android, in più di 200 paesi. Il malware non arrivava con un’app scaricata dall’utente: era già nel firmware al momento della vendita. Il Threat Intelligence Group di Google lo attribuisce «con alta confidenza» (traduzione nostra) al produttore cinese Videostrong Technology, che secondo l’azienda vendeva l’accesso ai dispositivi ad affiliati criminali.
In breve
- Chi è colpito: possessori di TV box Android economici non certificati prodotti o equipaggiati da Videostrong, venduti con vari marchi; anche alcuni dispositivi IoT come karaoke e apparecchi di telemedicina.
- Gravità: alta per la rete di casa: il box diventa un proxy per traffico altrui, fa frodi pubblicitarie e può installare altro malware.
- Sfruttata: sì, botnet attiva per anni; i server di comando ora sono stati tolti di mezzo.
- Cosa fare: verificare se il box è certificato da Google, in caso contrario staccarlo dalla rete o isolarlo e valutarne la sostituzione.
Come funzionava X.CPE
Secondo il rapporto di Google, la backdoor (i componenti x.cpe e com.oemservice) gira con privilegi di sistema. All’avvio contatta i server di comando, riceve le credenziali per un canale di messaggi e da lì può eseguire istruzioni: raccogliere dati sul dispositivo e sugli account, catturare lo schermo, scaricare ed eseguire file senza consenso. Per farlo disattiva la verifica delle app di Google Play Protect. Ogni affiliato caricava il proprio modulo: software di proxy residenziale, che rivende la vostra connessione e il vostro indirizzo IP a terzi; moduli di frode pubblicitaria che aprono pagine nascoste e cliccano annunci; altre backdoor. Google scrive che l’architettura è stata cambiata più volte, l’ultima da agosto 2026, per sfuggire ai controlli.
Il collegamento con Videostrong, secondo BleepingComputer, viene anche dall’indagine di Synthient: la società ha trovato il malware preinstallato in un box MECOOL KM9PRO Max acquistato a fine 2025, e documenti e firme dei file riconducibili all’azienda sui server degli operatori. Videostrong non ha risposto alle richieste di commento di The Record.
Cosa ha fatto Google
| Azione | Effetto |
|---|---|
| Azioni legali per abbattere i domini di comando | secondo Google il malware è reso «di fatto innocuo» (traduzione nostra) |
| Abbattimento dei domini di altre famiglie di malware caricate sui box | accesso criminale tagliato, forse, ad altri 10 milioni di dispositivi, molti non Android |
| Rapporti chiusi con Videostrong | niente più licenze per dispositivi con app Google preinstallate né forniture software a produttori certificati |
| Revisione della certificazione Android TV | controlli più stretti sull’integrità del firmware |
Hanno collaborato l’Agenzia nazionale di polizia giapponese e le società Lumen, HUMAN Security, Plume, Synthient e TrendAI. Il malware però non viene rimosso dai dispositivi: secondo i ricercatori citati da The Record, se si prova a disinstallarlo si reinstalla da solo. Google non ha detto se gli utenti verranno avvisati.
Perché riguarda anche l’Italia
I rapporti non citano l’Italia tra i paesi più colpiti. Ma i TV box Android a basso prezzo sono molto diffusi anche da noi, spesso comprati sui marketplace per le app di IPTV non autorizzate su cui interviene Piracy Shield, di cui abbiamo scritto in https://hardwarfare.it/business/telco-italia/piracy-shield-tar-agcom-cloudflare/. È esattamente il tipo di dispositivo descritto da Google: firmware di origine incerta, nessuna certificazione, aggiornamenti assenti.
Cosa fare se avete un TV box Android
- Verificate la certificazione: nel Play Store, nelle impostazioni, alla voce Informazioni, dovrebbe comparire lo stato di certificazione Play Protect. Se il Play Store manca o il dispositivo risulta non certificato, consideratelo a rischio. Google rimanda all’elenco dei partner sul sito Android TV.
- Se non è certificato, scollegatelo da Internet o mettetelo nella rete ospiti del router, separato da PC, NAS e telefoni.
- Non ci fate login con account importanti (Google principale, banca, posta) e cambiate le password usate sul box.
- Diffidate di app che offrono soldi in cambio della “banda inutilizzata”: Google le indica come una delle vie principali con cui crescono le reti di proxy illecite.
- Per sostituirlo, scegliete un dispositivo Android TV o Google TV certificato, di un produttore che pubblica aggiornamenti.
Attenzione: un ripristino di fabbrica non serve. La backdoor è nel firmware e torna con il dispositivo; il malware stesso disattiva la verifica di Play Protect, quindi un controllo “tutto a posto” sul box non è una garanzia.
La nostra lettura
È uno dei casi più chiari di malware messo dal produttore, non da un intruso. Il box economico senza marca costa poco perché qualcuno lo monetizza dopo la vendita, usando la vostra connessione. Il blocco dei server spegne questa botnet, non il problema: i dispositivi restano compromessi e il prossimo operatore può riaccenderli. Altre notizie su malware e botnet in https://hardwarfare.it/category/sicurezza-informatica/malware-ransomware/.
Fonti
Immagine di copertina: Android TV-based Tracer set top box.jpg di Oliwier Jaszczyszyn of kontrabanda.net website, licenza CC BY-SA 4.0, via Wikimedia Commons; elaborazione grafica HardWarfare.
Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo
