Google e diversi partner del settore hanno interrotto la botnet malware XCPE, che secondo l’azienda era incorporata in oltre 1,3 milioni di box per lo streaming Android TV durante la produzione. Google attribuisce l’operazione con elevata certezza al produttore cinese di dispositivi Videostrong Technology Co., sostenendo che l’azienda abbia installato una backdoor persistente e venduto l’accesso ad affiliati criminali per ottenere profitti finanziari.
I dispositivi compromessi venivano utilizzati per diversi tipi di criminalità informatica. Gli affiliati distribuivano moduli per le frodi pubblicitarie, trasformavano i box in proxy residenziali e installavano malware aggiuntivi. Google ha inoltre disattivato i server di comando e controllo utilizzati da oltre una dozzina di famiglie di malware correlate, interrompendo l’accesso ad almeno altri 10 milioni di dispositivi compromessi. Questi dispositivi comprendevano set-top box venduti al dettaglio, macchine per il karaoke e hardware per la telemedicina, e non erano tutti prodotti Android.
Google ha interrotto il rapporto con Videostrong, ha revocato l’autorizzazione dell’azienda a produrre dispositivi Android TV con applicazioni e servizi Google preinstallati e ha vietato all’azienda e ai suoi futuri affiliati di produrre dispositivi Android certificati o fornire software a venditori certificati.
Il malware XCPE differiva dalle botnet che in genere infettano i dispositivi tramite vulnerabilità software o download ingannevoli. Secondo Google, era integrato direttamente nel firmware dei dispositivi e distribuito su più marchi e modelli nell’arco di diversi anni. I suoi componenti principali, tracciati come x.cpe e com.oemservice, operavano con privilegi a livello di sistema Android e utilizzavano una progettazione modulare che separava le funzionalità della backdoor dagli strumenti per la generazione di profitti.
Dopo l’avvio di un dispositivo infetto, il malware contattava l’infrastruttura sul dominio anyevonline[.]com per ottenere i dettagli di connessione e le credenziali di un broker MQTT ospitato presso mqtt.szbboys[.]com. Gli operatori potevano quindi impartire comandi da remoto e installare applicazioni aggiuntive, disabilitare Google Play Protect, eseguire comandi shell, acquisire schermate, registrare i tasti premuti e raccogliere informazioni sugli account, sui dispositivi, sulle applicazioni e sul sistema. Il malware poteva inoltre svolgere attività di ricognizione della rete e stabilire shell inverse.
Google ha dichiarato che la piattaforma supportava moduli collegati a servizi di proxy residenziali tra cui Linkfog, AppSalt/Honeygain, GaGaNode, NetNut e Traffmonetizer. Questi servizi instradavano il traffico di terze parti attraverso i dispositivi infetti senza che i proprietari ne fossero a conoscenza o avessero dato il consenso. Altri moduli generavano attività pubblicitarie fraudolente, installavano backdoor aggiuntive e scaricavano ulteriore malware.
Gli operatori modificavano ripetutamente il malware per rendere più difficile il rilevamento. Alla fine del 2024 hanno introdotto un loader separato denominato com.abc.nexus, mentre dall’agosto 2026 avevano iniziato a sostituirlo con dropper più piccoli camuffati da applicazioni di sistema Android.
La società di cybersicurezza Synthient ha collegato il malware e la sua infrastruttura a Videostrong dopo aver trovato la backdoor preinstallata su un box Android TV MECOOL KM9PRO Max acquistato alla fine del 2025. I ricercatori hanno inoltre individuato una directory accessibile pubblicamente contenente backdoor e un PDF associato a Owen Cao, direttore della ricerca e sviluppo di Videostrong. Hanno scoperto che il dominio di Videostrong risolveva allo stesso indirizzo IP di un server di comando e controllo XCPE e che gli indirizzi e-mail dell’azienda erano stati utilizzati per firmare le backdoor.
Google ha affermato che le prove indicavano un’installazione deliberata da parte del produttore, anziché un incidente isolato causato da un dipendente interno o un errore accidentale di sviluppo. L’azienda ha inoltre modificato il processo di revisione della certificazione dopo aver stabilito che Videostrong utilizzava tecniche di offuscamento per eludere i test e caricare codice dannoso dopo il completamento del primo avvio dei dispositivi.
Sebbene l’interruzione abbia colpito l’infrastruttura della botnet, Google ha dichiarato che il malware rimane sui dispositivi infetti. Se viene rimosso, può reinstallarsi dalla partizione /oem/. Gli utenti dovrebbero installare un firmware pulito per rimuovere l’infezione oppure disconnettere i dispositivi interessati da Internet per impedire ulteriori attività dannose.
L’operazione ha coinvolto la National Police Agency del Giappone e le società di sicurezza Lumen, HUMAN Security, Plume, Synthient e TrendAI.
Fonti: BleepingComputer.