In questo articolo Indice dei contenuti 3 sezioni
Oltre 1,3 milioni di TV Box Android sparsi in più di 200 Paesi sono finiti sotto il controllo di criminali informatici senza che i proprietari ne sapessero nulla. È il bilancio della botnet XCPE, smantellata da un’operazione internazionale che ha coinvolto Google, Lumen, HUMAN Security, Plume, Synthient e TrendAI insieme alla National Police Agency giapponese. Il dettaglio più inquietante riguarda l’origine dell’infezione. Il codice malevolo non arrivava da app scaricate dagli utenti ma era già presente nel firmware al momento dell’acquisto.
Le indagini puntano su Videostrong Technology, produttore cinese con sede a Shenzhen che realizza dispositivi Android per diversi marchi commerciali. Secondo Google l’azienda avrebbe inserito deliberatamente una backdoor nei propri prodotti per poi vendere l’accesso agli apparecchi compromessi. La vicenda ricorda BADBOX 2.0, la rete che nel 2025 aveva coinvolto milioni di dispositivi economici, ma qui c’è un’aggravante non da poco. Il produttore accusato collaborava con Google e il malware era riuscito a superare i controlli previsti per la certificazione.
I dettagli
Stando al Google Threat Intelligence Group l’infrastruttura era in sviluppo almeno dalla fine del 2024 e poggiava su un’architettura modulare. Il componente principale x.cpe girava con privilegi di sistema e una piccola app integrata nel firmware controllava a ogni avvio che fosse presente, reinstallandolo all’occorrenza dalla partizione /oem/. Cancellare l’applicazione quindi non serviva praticamente a nulla.
Una volta attivo, il programma inviava a un server remoto identificativi hardware, indirizzo MAC, modello e versione del sistema, ricevendo in cambio i parametri per una connessione permanente via MQTT, protocollo leggero molto usato nell’Internet delle cose. Da lì gli operatori potevano installare APK senza alcuna interazione, modificare impostazioni, eseguire comandi, catturare schermate e raccogliere informazioni sulla rete locale. Google ha documentato anche il furto di dati su account, registri di sistema e app installate.
Un secondo componente chiamato com.abc.nexus faceva da motore per caricare altri moduli, alcuni scaricati persino da repository GitHub gestiti dagli stessi criminali. Una routine modificava un parametro di sistema per aggirare Google Play Protect mentre una libreria apposita ostacolava gli strumenti di analisi. Da agosto 2026 gli operatori avevano iniziato a sostituire com.abc.nexus con moduli più specializzati, alcuni capaci di tentare l’accesso root tramite ADB.
Proxy residenziali e frodi pubblicitarie, il vero business
Il valore economico della botnet XCPE stava soprattutto nella possibilità di trasformare ogni apparecchio in un proxy residenziale. Il traffico che parte da un normale abbonamento domestico desta molti meno sospetti di quello proveniente da un data center. Chi affittava l’accesso poteva così tentare login fraudolenti, aggirare blocchi geografici o nascondere la propria identità sfruttando la connessione della vittima. Tra i componenti pensati per monetizzare la banda i ricercatori hanno trovato Linkfog, GaGaNode, NetNut, AppSalt e Traffmonetizer.
Accanto ai proxy lavoravano moduli di frode pubblicitaria come HiddenView, che usava WebView invisibili per simulare interazioni e generare visualizzazioni artificiali. Un singolo decoder poteva far girare più moduli insieme mentre il proprietario guardava tranquillamente film e programmi. Le rilevazioni di TrendAI Research, condotte dal 3 giugno al 1° ottobre 2026, contano 1.472.554 dispositivi compromessi appartenenti a 206 modelli in oltre 170 Paesi. Il malware è comparso anche in apparecchi per la telemedicina, sistemi karaoke e schermi per la segnaletica digitale.
Le contromisure di Google e cosa possono fare i proprietari
Secondo l’indagine Videostrong avrebbe sfruttato una lacuna nei test richiesti da Google, nascondendo il codice e attivando i componenti malevoli solo dopo il primo avvio. Big G ha interrotto ogni rapporto con l’azienda, vietando a lei e a eventuali società affiliate o controllate future di produrre dispositivi Android certificati o fornire software ad altri produttori certificati. In arrivo anche verifiche più rigide sull’integrità dei firmware Android TV.
L’operazione ha colpito domini e server di XCPE e Google ha avviato azioni legali contro le infrastrutture di comando e controllo di oltre una dozzina di famiglie malware collegate, togliendo potenzialmente ai criminali l’accesso ad almeno altri 10 milioni di dispositivi. Spegnere i server però non cancella il codice già presente negli apparecchi. Chi possiede un TV Box Android, specie di marca poco nota, dovrebbe individuare produttore, modello e versione del firmware e cercare eventuali comunicazioni ufficiali di sicurezza, tenendo presente che la presenza di Android TV o delle app Google non rappresenta una garanzia assoluta. Un controllo del traffico tramite router, firewall o strumenti di analisi DNS può aiutare a scovare connessioni anomale.
Fonte: TecnoAndroid