ImperdibiliNewsTV Box

Google scopre 1,3 milioni di TV Box infetti di fabbrica: produttore bandito

GuruHiTech 0 Views ,  ,  ,  ,  ,  ,  ,  ,  , 

Acquisti un TV Box Android, lo colleghi al televisore e pensi di avere tra le mani un normale dispositivo per lo streaming. In realtà, potrebbe contenere un malware installato direttamente dal produttore, prima ancora che tu lo accenda. È quanto emerge dall’indagine pubblicata il 2 novembre 2026 dal Google Threat Intelligence Group, che ha portato allo smantellamento di XCPE, una botnet composta da oltre 1,3 milioni di dispositivi, principalmente decoder e TV Box Android.

La società finita sotto accusa è Videostrong Technology, produttore cinese con sede a Shenzhen. Google ritiene, con un elevato grado di certezza, che l’azienda abbia sviluppato e distribuito intenzionalmente la backdoor per guadagnare vendendo l’accesso ai dispositivi a operatori criminali. E il problema è ancora più grave di quanto sembri: alcuni dispositivi erano certificati da Google, ma il malware riusciva ad aggirare i controlli di sicurezza attivandosi dopo il primo avvio.

La scoperta di Google: 1,3 milioni di TV Box trasformati in una botnet

XCPE non è un’infezione arrivata soltanto dopo un download sospetto. La sua componente principale era incorporata nel firmware, il software di base che permette al dispositivo di funzionare. Google ha rilevato la presenza del codice malevolo su diversi marchi e modelli commercializzati nell’arco di più anni. Una volta collegati a Internet, gli apparecchi potevano entrare in contatto con i server di comando degli operatori.

Una botnet è una rete di dispositivi controllati da remoto senza il consenso dei proprietari. Nel caso di XCPE, il controllo non serviva principalmente a interrompere lo streaming: serviva a trasformare ogni TV Box in una risorsa da affittare o sfruttare per attività illecite. Chi aveva acquistato il dispositivo continuava a usarlo normalmente, mentre in background potevano essere eseguite operazioni estranee alle sue intenzioni.

L’operazione coordinata da Google e da partner del settore ha coinvolto anche l’Agenzia nazionale di polizia giapponese e società specializzate nella sicurezza, tra cui Lumen, HUMAN Security, Plume, Synthient e TrendAI. Il gruppo ha colpito i domini e i server impiegati per controllare i dispositivi e distribuire ulteriori componenti malevoli.

Videostrong bandita: Google interrompe ogni rapporto con il produttore

La conclusione dell’indagine è particolarmente pesante per Videostrong. Google afferma di avere elementi sufficienti per escludere che si sia trattato semplicemente di un errore tecnico o dell’iniziativa isolata di un dipendente. La backdoor sarebbe stata sviluppata e mantenuta deliberatamente per anni, con infrastrutture dedicate e modifiche continue per eludere i sistemi di rilevamento.

Per questo Google ha revocato a Videostrong la possibilità di produrre dispositivi Android certificati con applicazioni Google preinstallate. Il divieto si estende anche alle future controllate e affiliate e alla fornitura di software destinato ad altri produttori certificati. La società americana ha inoltre avviato azioni legali per ottenere la disattivazione delle infrastrutture impiegate dagli operatori.

L’episodio mette in discussione una convinzione diffusa: la certificazione di un dispositivo riduce i rischi, ma non equivale a una garanzia assoluta. Google ha riconosciuto che Videostrong sfruttava una lacuna nei controlli, nascondendo il comportamento malevolo fino a dopo il primo avvio. L’azienda ha annunciato modifiche alle procedure di verifica dell’integrità del firmware.

Cosa faceva il malware XCPE: spionaggio, pubblicità fraudolenta e proxy

La backdoor era identificata anche dai nomi x.cpe e com.oemservice. Operava con privilegi elevati nel sistema Android e comunicava con infrastrutture remote capaci di inviare istruzioni. La struttura modulare permetteva di aggiungere programmi diversi a seconda degli obiettivi degli operatori.

Tra le capacità individuate figurano l’installazione silenziosa di applicazioni, l’esecuzione di comandi di sistema, la cattura di schermate, l’invio di tasti e la raccolta di informazioni sugli account e sul dispositivo. Alcune componenti potevano perfino disabilitare Google Play Protect, il sistema di controllo delle applicazioni Android. La presenza di queste funzioni non dimostra che ogni dispositivo infetto abbia subito tutte le attività possibili, ma chiarisce quanto fosse ampio il potere degli operatori.

Una parte consistente del guadagno arrivava dall’impiego dei dispositivi come proxy residenziali. In pratica, il traffico Internet di terzi poteva passare attraverso la connessione domestica del proprietario, facendo apparire l’attività come proveniente dal suo indirizzo IP. Altri moduli generavano visualizzazioni e clic pubblicitari falsi oppure installavano ulteriori malware.

Leggi anche:

Perché l’infezione di fabbrica è più difficile da eliminare

Un’app malevola scaricata per errore può talvolta essere individuata e rimossa. XCPE, invece, era progettato per resistere alla disinstallazione. Google ha spiegato che il componente principale era presente nella partizione /oem/ e poteva reinstallarsi automaticamente al riavvio, anche dopo che l’utente aveva eliminato la copia visibile dell’applicazione.

Questo cambia completamente il livello di rischio. Un normale ripristino alle impostazioni di fabbrica non può essere considerato una soluzione affidabile quando il malware è incorporato nell’immagine di sistema che viene ripristinata. Per una bonifica effettiva potrebbe essere necessario installare un firmware sicuramente pulito e verificato; in mancanza di una procedura ufficiale attendibile, la scelta più prudente può essere sostituire il dispositivo.

L’infezione, inoltre, non dipende necessariamente dall’aver visitato siti illegali o installato applicazioni pirata. Il dispositivo poteva arrivare già compromesso nella confezione originale. È proprio questa la caratteristica che rende il caso particolarmente allarmante per chi acquista TV Box economici o prodotti venduti sotto marchi poco conosciuti.

Non solo TV Box: coinvolti anche altri dispositivi Android

La maggior parte degli apparecchi della rete XCPE era costituita da decoder per lo streaming, ma i ricercatori hanno individuato anche dispositivi per la telemedicina, apparecchi per karaoke e sistemi di segnaletica digitale. L’infezione non era dunque limitata al televisore del salotto.

Un altro numero ha attirato l’attenzione: almeno 10 milioni di dispositivi aggiuntivi. Google stima che la disattivazione dei domini utilizzati da oltre una dozzina di famiglie malware collegate all’ecosistema XCPE abbia interrotto l’accesso degli operatori a questi ulteriori apparecchi compromessi.

È importante non confondere le cifre: 1,3 milioni indica la dimensione della botnet XCPE, mentre i 10 milioni aggiuntivi riguardano dispositivi infettati anche attraverso altri canali e raggiunti indirettamente dall’operazione contro le infrastrutture criminali. Non significa che Videostrong abbia prodotto o infettato di fabbrica tutti gli 11,3 milioni di dispositivi.

Come capire se il tuo TV Box Android è a rischio

Se utilizzi un TV Box Android, controlla innanzitutto marca, modello, versione del firmware e stato della certificazione Play Protect. La presenza di un marchio noto o dell’interfaccia Google TV, da sola, non basta per escludere ogni problema. Nel caso XCPE sono stati individuati dispositivi appartenenti a diversi modelli e marchi, ma non esiste una prova che tutti i TV Box Android siano compromessi.

Per verificare la certificazione, apri il Google Play Store, entra nelle impostazioni e cerca la voce relativa alla certificazione Play Protect, se disponibile sul tuo dispositivo. Un apparecchio non certificato richiede maggiore prudenza, ma anche una certificazione positiva non sostituisce gli aggiornamenti di sicurezza.

Se il tuo modello risulta coinvolto nelle segnalazioni dei ricercatori, scollegalo da Internet finché non è disponibile un firmware pulito e affidabile. Non installare file di aggiornamento trovati su siti sconosciuti e non affidarti a presunte applicazioni che promettono di eliminare automaticamente XCPE: un malware persistente a livello di sistema può sopravvivere ai normali tentativi di pulizia.

Controlla inoltre le comunicazioni ufficiali del produttore e valuta la sostituzione del dispositivo se non vengono rilasciati aggiornamenti verificabili. Non basta cambiare la password Wi-Fi per rimuovere una backdoor incorporata nel firmware. Se temi che il dispositivo sia stato usato per intercettare credenziali, modifica le password sensibili da un apparecchio sicuro.

Google ha fermato gli hacker, ma i dispositivi infetti non sono automaticamente guariti

L’operazione ha colpito la capacità degli operatori di impartire comandi attraverso i server individuati. È un risultato importante, ma disattivare una botnet non significa necessariamente cancellare il malware da ogni dispositivo già venduto. Se il codice malevolo resta nel firmware, la sicurezza futura dipende anche dalla possibilità di bonificare o sostituire l’apparecchio.

Il caso Videostrong mostra un problema più ampio della criminalità informatica moderna: non sempre il pericolo arriva da un sito sospetto o da un’app scaricata per errore. A volte può essere incorporato nel prodotto che hai appena acquistato. E quando il dispositivo è già predisposto per ricevere comandi dall’esterno, il proprietario rischia di perdere il controllo di ciò che avviene sulla propria rete.

La domanda, a questo punto, è inevitabile: quanto possiamo fidarci di un dispositivo connesso se perfino il produttore può diventare parte della minaccia?

Fonte

Ti potrebbe interessare:
Segui guruhitech su:

Esprimi il tuo parere!

Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.

Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].

Scopri di più da GuruHiTech

Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.

0 0 voti
Article Rating
Iscriviti
Notificami
guest
0 Commenti
Più recenti
Vecchi Le più votate