Google smantella la botnet XCPE che infetta 1.3M dispositivi Android TV
- Google ha interrotto XCPE, una botnet che coinvolgeva oltre 1,3 milioni di box Android TV infettate da malware preinstallato.
- L'abbattimento ha bloccato l'accesso remoto dei criminali, ma la backdoor rimane incorporata nel firmware dei dispositivi interessati.
- Non è stato identificato alcun richiamo pubblico specifico per XCPE né un aggiornamento del firmware pulito, lasciando i proprietari a cercare soluzioni o sostituzioni dai venditori.
Il 2 novembre, Google e i suoi partner hanno disattivato XCPE, una botnet che coinvolgeva oltre 1,3 milioni di decoder Android TV, ha annunciato l'azienda. L'azione ha rimosso l'accesso remoto dei criminali ai dispositivi. Tuttavia, il software malevolo rimane nascosto nel loro firmware.
Per chi ha acquistato le scatole, la preoccupazione è cosa succederà ora. Una revisione dei risultati di Google, TrendAI e Synthient, nonché della pagina di garanzia MECOOL del 3 novembre, non ha mostrato indicazioni di un richiamo di prodotti correlati a XCPE, di un aggiornamento del firmware pulito o di uno schema di sostituzione su larga scala messo in atto. La revisione ha incluso solo documenti resi pubblici, senza analizzare le risposte di singoli venditori.
Come l'agente preinstallato si collegava al server di comando e controllo
Il malware era già presente nel dispositivo. Google ha scoperto che x.cpe, noto come com.oemservice su alcuni dispositivi, era preinstallato nel firmware con accesso a livello di sistema. Anche se rimosso, si reinstalla automaticamente dalla partizione /oem/ dopo un riavvio.
Una volta acceso il dispositivo e stabilita una connessione a Internet, l'agente preinstallato iniziava a comunicare con i suoi controller e a inviare comandi a com.abc.nexus o a loader più recenti.
I criminali potevano utilizzare i messaggi MQTT per installare applicazioni senza autorizzazione, eseguire comandi e registrare lo schermo. Secondo TrendAI, l'app di sistema è firmata digitalmente con la chiave del produttore, il che complicava notevolmente la possibilità per gli utenti di rimuoverla.
Chi Google indica come responsabile
Google afferma di essere altamente convinta che Videostrong abbia costruito e gestito deliberatamente un backdoor per trarne profitto. Il produttore avrebbe nascosto il codice malevolo per superare i controlli di certificazione di Android.
In risposta, Google ha bandato Videostrong e le sue future affiliate dalla produzione di dispositivi Android certificati o dalla fornitura di software a fornitori certificati. Ha inoltre rafforzato i controlli del firmware. L'Ufficio Nazionale della Polizia del Giappone e diverse società di sicurezza hanno collaborato con Google per l'eliminazione del problema.
Seguire i soldi fino alla banda larga domestica
La truffa sfruttava le connessioni internet domestiche per generare reddito. Le TV box infette fungevano da proxy residenziali, consentendo ad altri l'accesso senza la conoscenza dei proprietari delle box infette. Inoltre, gli aggressori hanno implementato programmi di frode pubblicitaria. Dal 3 giugno al 1° ottobre 2026, TrendAI ha monitorato 3,85 milioni di indirizzi IP di uscita residenziale unici.
Le connessioni alle reti domestiche sono utili per i criminali, poiché la loro attività appare legittima. Secondo l'FBI, questo è il risultato dell'uso di proxy residenziali che fanno sembrare i criminali consumatori ordinari. Gli inserzionisti affrontano pericoli simili. DoubleVerify ha rilevato il 140% in più di schemi e varianti di frode nella TV connessa nel primo trimestre del 2026 rispetto all'anno precedente. Tuttavia, non tutte queste truffe rientrano nella categoria di XCPE.
Quali box e cosa possono fare i proprietari
Synthient ha esaminato un MECOOL KM9PRO Max e ha elencato stringhe di modello tra cui KM9PRO_MAX, KM7PLUS e KD3. Un nome corrispondente da solo non prova l'infezione.
MECOOL’s warranty offers 30-day returns and one-year coverage for quality issues, but no XCPE-specific remedy. Worried owners should disconnect suspected boxes and ask sellers for a documented fix or replacement.
Perché una C2 morta non è la fine
Google ha preso di mira anche i domini di controllo delle affiliate, che stima potrebbero disconnettere almeno altri 10 milioni di dispositivi compromessi. Questi sono separati dai 1,3 milioni dell'XCPE.
Il rischio di un ritorno è reale. Un precedente botnet di Android TV, diverso, è cresciuto da 74.000 dispositivi nel 2023 a più di 10 milioni nel 2025, come riportato da Cryptopolitan.
Il mercato è ancora molto più grande. Grand View Research prevede un fatturato globale di 318,6 miliardi di dollari per la televisione connessa nel 2026. Pixalate calcola che la quota di Roku nell'attività pubblicitaria programmatic della televisione connessa a livello globale sia del 36%. Nessuna di queste cifre tiene conto delle perdite dovute al XCPE.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Domande frequenti
Cos'è il botnet XCPE?
XCPE è un backdoor preinstallato nel firmware di oltre 1,3 milioni di dispositivi Android, principalmente box TV e proiettori, che li ha iscritti in una botnet utilizzata per frodi pubblicitarie, traffico proxy residenziale e caricamento di ulteriore malware, secondo Google.
Posso rimuovere il malware con un ripristino alle impostazioni di fabbrica?
Non in modo affidabile. TrendAI afferma che l'implant funziona come app di sistema firmata con la chiave del produttore, quindi la rimozione richiede l'intervento del venditore, una correzione a livello di piattaforma o un nuovo dispositivo; l'FBI avverte inoltre che alcuni malware preinstallati persistono anche dopo un ripristino.
Chi ritiene responsabile Google?
Google afferma di valutare con alta confidenza che Videostrong Technology Co. abbia intenzionalmente creato e monetizzato il backdoor, e ha bandito definitivamente l'azienda e i suoi futuri affiliati dalla produzione di dispositivi Android certificati o dalla fornitura di software a fornitori certificati.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Micah Abiodun
Micah Abiodun utilizza al meglio la sua laurea magistrale in Ingegneria Ambientale e Gestione (MSc) presso l'Università Tecnologica di Tallinn (TalTech) per affinare le notizie su contenuti e previsioni dei prezzi su Cryptopolitan. Ora al suo 7° anno nello spazio mediatico crypto, copre le principali criptovalute, altcoin, DeFi, stablecoin, trend macroeconomici e tecnologie emergenti.
