Il takedown della Android botnet lascia intatta la backdoor delle TV box
Una Android botnet, ossia una rete di dispositivi compromessi controllati da remoto, ha perso l’accesso ai server che gestivano più di 1,3 milioni di dispositivi durante un takedown guidato da Google alla fine di ottobre. La maggior parte dei dispositivi interessati era costituita da set-top box Android TV, anche se la stessa backdoor è stata trovata anche in apparecchiature di telemedicina, macchine per karaoke e segnaletica digitale.
Google afferma di essere altamente certa che Videostrong, produttore di dispositivi con sede a Shenzhen, abbia inserito deliberatamente nei propri prodotti la backdoor chiamata x.cpe e abbia venduto l’accesso ad attori criminali. Una backdoor è un metodo nascosto per entrare in un dispositivo o controllarlo senza il permesso del proprietario. Videostrong produce TV box Android e altre apparecchiature con il proprio nome e per conto di altri marchi. Google ritiene che il codice sia stato integrato in numerosi modelli e marchi nel corso di diversi anni, anziché essere stato introdotto per errore o da un dipendente infedele.
L’operazione si è avvalsa di azioni legali per sequestrare o disabilitare i domini e i server che controllavano la botnet. Google ha inoltre disattivato domini di controllo associati a più di una dozzina di famiglie di malware, ossia gruppi correlati di software dannoso installati tramite x.cpe. All’operazione hanno partecipato la National Police Agency giapponese, Lumen, HUMAN Security, Plume, Synthient e TrendAI. Poiché i criminali distribuivano lo stesso malware anche attraverso altri canali, Google prevede che l’interruzione eliminerà il loro accesso ad almeno altri 10 milioni di dispositivi infetti. L’azienda ha avvertito che i fornitori di backdoor e i loro clienti criminali possono cambiare rapidamente strumenti dopo la disabilitazione dell’infrastruttura.
Google ha interrotto i rapporti con Videostrong. Ha vietato all’azienda, nonché alle sue future controllate e affiliate, di produrre o vendere dispositivi Android certificati e di fornire software ad altri produttori certificati.
x.cpe opera all’interno del firmware, il software integrato che avvia e controlla un dispositivo, come system app con privilegi elevati. Contatta command-and-control servers, chiamati anche C2 servers, che inviano istruzioni alle apparecchiature infette. Prima di installare silenziosamente il software, la backdoor disabilita i controlli eseguiti da Google Play Protect, la funzione di sicurezza integrata di Android.
Secondo l’analisi di Google, gli operatori potevano installare app senza avvisare il proprietario, eseguire comandi, acquisire lo schermo e mappare altre apparecchiature presenti sulla stessa rete. Google afferma di aver osservato operatori acquisire screenshot in tempo reale, trasmettere le digitazioni, estrarre dati degli account, informazioni sui dispositivi, elenchi delle app installate e log di sistema, nonché aprire sessioni di reverse shell. Una reverse shell fornisce a un operatore remoto una command line attraverso la quale può controllare il dispositivo.
La maggior parte dei moduli, ossia programmi aggiuntivi distribuiti attraverso la backdoor, trasformava le TV box in residential proxies oppure ne vendeva la banda inutilizzata. Un residential proxy instrada il traffico di terzi attraverso una connessione internet domestica, facendo apparire l’attività come proveniente da un’abitazione ordinaria. Altri moduli generavano visualizzazioni fraudolente di pubblicità online. Ciò significava che le connessioni dei proprietari potevano essere utilizzate a loro insaputa per traffico esterno e frodi pubblicitarie.
TrendAI, l’unità aziendale di Trend Micro, ha contato 1.472.554 dispositivi infetti appartenenti a 206 modelli tra il 3 giugno e il 1º ottobre e ha dichiarato che il totale effettivo era almeno pari a tale cifra. Malaysia, Brasile, Iraq, Messico e Taiwan registravano i numeri più elevati. Stati Uniti, Germania, Regno Unito, Australia e Canada avevano ciascuno approssimativamente da 26.000 a 42.000 dispositivi interessati.
Synthient ha pubblicato i nomi di 182 modelli di dispositivi osservati durante la campagna, sottolineando tuttavia che la corrispondenza del nome di un modello non dimostra, da sola, un’infezione. La sua indagine si è concentrata sulle TV box con marchio MECOOL collegate a Videostrong. Synthient ha acquistato una MECOOL KM9PRO Max e ha scoperto che x.cpe era già installata. Separatamente, Plume ha identificato più di una dozzina di tipi di dispositivi che comunicavano con il server di controllo della botnet, la maggior parte dei quali recava il marchio MECOOL.
Rimuovere x.cpe è difficile perché fa parte del firmware e ricompare dopo un riavvio. TrendAI afferma che viene eseguita come system app firmata con la key del produttore; di conseguenza, le opzioni disponibili per la bonifica sono l’intervento del fornitore, una protezione a livello di piattaforma oppure la sostituzione del dispositivo. Plume raccomanda un factory reset completo perché i moduli scaricati potrebbero aver aggiunto ulteriori backdoor, ma non afferma che il reset rimuova x.cpe. Synthient consiglia ai consumatori di scollegare e dismettere definitivamente le TV box interessate a causa del rischio rappresentato dal malware.
Per le organizzazioni, Synthient raccomanda di utilizzare gli indicatori pubblicati, ossia segnali tecnici di compromissione, per individuare dispositivi MECOOL e simili, scollegare e smaltire quelli trovati e bloccare i domini di controllo e gli indirizzi IP elencati. Raccomanda inoltre di collocare gli altri dispositivi smart su network segments separati, sezioni isolate di una rete tenute lontane dai sistemi sensibili. TrendAI consiglia ai datori di lavoro con lavoratori da remoto di considerare le apparecchiature consumer non gestite presenti nelle reti domestiche come parte della loro attack surface, l’insieme di dispositivi e connessioni che potrebbe offrire una via di accesso alle risorse aziendali, e di limitare l’accesso aziendale ai dispositivi gestiti.
Google ha collegato x.cpe ad altri software di Videostrong perché la backdoor trasmette le impostazioni ricevute dal proprio C2 server ad app che includono l’applicazione di streaming YokaTV Player. Un account GitHub utilizzato per ospitare i pacchetti della botnet aveva il nome yf-videostrong. Anche Synthient ha concluso, con un elevato grado di confidenza, che Videostrong gestisse il sistema, citando un documento firmato dal direttore della ricerca e sviluppo dell’azienda e trovato in una cartella pubblicamente accessibile su un server della botnet. Ha inoltre individuato un dominio di Videostrong che condivideva un indirizzo IP con il pannello di controllo degli operatori. Plume ha scoperto che l’azienda forniva sia il firmware dei dispositivi sia strumenti di gestione remota.
L’incidente ha inoltre messo in luce una debolezza nel processo di approvazione dei dispositivi Android. Google richiede ai produttori di completare test di compatibilità e sicurezza, ma afferma che Videostrong abbia nascosto il proprio codice per sfruttare una lacuna in tali controlli e abbia installato il componente dannoso dopo il primo avvio del dispositivo. Da allora Google ha modificato il proprio processo di verifica e sta rafforzando i controlli sul firmware delle apparecchiature Android TV certificate. Alla data del 2 novembre, il sito web di Videostrong elencava ancora prodotti descritti come TV box e stick Android TV certificati.
Plume ha trovato all’interno della botnet sia dispositivi certificati da Google sia prodotti che eseguivano Android Open Source Project (AOSP), la base liberamente disponibile di Android. Google non ha dichiarato quanti dispositivi certificati fossero interessati. La situazione è diversa da quella della botnet BadBox 2.0 coinvolta nella causa legale avviata da Google nel luglio 2025, i cui oltre 10 milioni di dispositivi non erano certificati.
Per le aziende che devono affrontare rischi più ampi relativi a dispositivi e reti, AEU-I offre servizi IT, infrastrutture e consulenza orientati innanzitutto alla sicurezza. Per i proprietari interessati, tuttavia, il limite principale rimane fisico e immediato: il takedown dei server della botnet ne ha interrotto il controllo, ma non ha rimosso x.cpe dalle TV box stesse.