Google e un gruppo di partner hanno smantellato la botnet XCPE, una rete che aveva arruolato oltre 1,3 milioni di dispositivi, in gran parte set-top box Android TV. Secondo il Google Threat Intelligence Group, la backdoor non è arrivata da un attacco esterno: sarebbe stata inserita deliberatamente nel firmware dal produttore cinese Videostrong Technology, che avrebbe poi venduto l’accesso ai dispositivi a gruppi criminali. Google ha interrotto i rapporti con l’azienda e le ha vietato di produrre dispositivi Android certificati.
Botnet XCPE: cosa ha scoperto Google
Nel rapporto pubblicato il 2 novembre 2026, Google spiega che l’operazione è avvenuta la settimana precedente e che attribuisce “con alta fiducia” lo sviluppo e la gestione della backdoor a Videostrong, produttore di Shenzhen che realizza dispositivi Android con il proprio marchio e per conto di altri brand. Il codice malevolo, chiamato x.cpe (in alcune versioni com.oemservice), era integrato in molti modelli e marchi diversi da diversi anni. Per Google non si tratta dell’iniziativa di un dipendente infedele né di un errore di sviluppo.
Il produttore avrebbe monetizzato la backdoor cedendo l’accesso a “affiliati” criminali, che caricavano sui dispositivi i propri moduli: proxy residenziali che fanno transitare il traffico di sconosciuti attraverso la connessione di casa delle vittime, frodi pubblicitarie con visualizzazioni nascoste e altri malware. Gli operatori, secondo Google, hanno anche catturato schermate, inviato pressioni di tasti, sottratto dati come informazioni sugli account, elenchi delle app e log di sistema, e aperto shell remote sui dispositivi. Oltre ai TV box, sono stati trovati infetti anche apparecchi per la telemedicina, karaoke e schermi per la segnaletica digitale.
Come funzionava la backdoor nei TV box Android
La componente principale gira con privilegi di sistema e, se viene disinstallata, si reinstalla al riavvio da una partizione protetta del firmware. Per installare app in silenzio disattiva le verifiche di Google Play Protect. I comandi arrivavano tramite il protocollo MQTT da un server di comando e controllo, mentre i moduli aggiuntivi venivano scaricati in gran parte da pagine GitHub controllate dagli operatori. Da agosto 2026, riferisce Google, sono comparsi nuovi dropper camuffati da app di sistema, in grado di sfruttare un exploit di escalation dei privilegi per copiarsi nella partizione di sistema e diventare ancora più difficili da rimuovere.
Google sostiene che Videostrong abbia sfruttato una lacuna nei test di compatibilità e sicurezza previsti per i produttori, caricando il codice malevolo solo dopo il primo avvio del dispositivo. L’azienda dichiara di aver modificato il processo di verifica e di voler rafforzare i controlli sull’integrità del firmware dei dispositivi Android TV certificati.
L’operazione: domini sequestrati e 10 milioni di dispositivi tagliati fuori
L’intervento, condotto con la National Police Agency giapponese e con Lumen, HUMAN Security, Plume, Synthient e TrendAI, ha previsto azioni legali per abbattere domini e server usati per controllare la botnet e i domini di comando di oltre una dozzina di famiglie di malware caricate come moduli. Poiché questi affiliati distribuivano i loro moduli anche per altre vie, Google stima che l’operazione taglierà l’accesso ad almeno altri 10 milioni di dispositivi compromessi.
Secondo i dati di TrendAI riportati da The Hacker News, tra il 3 giugno e il 1° ottobre sono stati contati 1.472.554 dispositivi infetti su 206 modelli, con le concentrazioni maggiori in Malesia, Brasile, Iraq, Messico e Taiwan. Synthient ha pubblicato un elenco di 182 nomi di modelli osservati nella campagna, avvertendo però che il solo nome del modello non basta a confermare un’infezione. Il fenomeno ricorda altre operazioni contro le reti di proxy illecite, come quella di Europol contro SocksEscort e i router domestici infetti.
Cosa fare se si possiede un TV box Android economico
Lo smantellamento dei server non elimina la backdoor dai dispositivi già venduti: il codice resta nel firmware. Per questo i ricercatori suggeriscono alcune precauzioni.
- Verificare la provenienza del proprio TV box: Google invita ad acquistare solo da produttori affidabili e a consultare l’elenco dei partner sul sito ufficiale di Android TV.
- Non contare sulla disinstallazione: rimuovere l’app non basta, perché si reinstalla al riavvio. TrendAI ritiene che la pulizia richieda un intervento del produttore o la sostituzione del dispositivo; Synthient consiglia di dismettere i box sospetti.
- Isolare i dispositivi smart su una rete separata (ad esempio la rete ospiti del router), lontano da PC e archivi con dati sensibili.
- Diffidare delle app che pagano in cambio della “banda inutilizzata”: secondo Google sono uno dei principali canali di crescita delle reti di proxy illecite.
- Per le aziende: usare gli indicatori di compromissione pubblicati da Google e Synthient per individuare e bloccare i dispositivi sulla rete, e considerare i dispositivi domestici non gestiti dei dipendenti in smart working parte della superficie d’attacco.
Il caso conferma i rischi già emersi per la casa connessa, dove TV e altri dispositivi concentrano buona parte delle minacce, come raccontato nell’articolo sulla sicurezza della smart home.
Fonti: https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet/, https://thehackernews.com/2026/11/google-disrupts-13-million-device.html, https://www.bleepingcomputer.com/news/security/google-disrupts-million-device-xcpe-android-malware-botnet-bans-tv-box-maker/, https://www.helpnetsecurity.com/2026/11/02/xcpe-botnet-android-backdoor/
