Smantellata la botnet Android TV presente in 1,3 milioni di box
Secondo il Google Threat Intelligence Group (GTIG), la botnet Android TV nota come XCPE ha arruolato più di 1,3 milioni di set-top box tramite malware fornito insieme ai dispositivi. Il 2 novembre 2026, Google ha dichiarato di aver collaborato con partner del settore e intrapreso azioni legali contro i domini e i server utilizzati per controllare la rete. Una botnet è un insieme di dispositivi compromessi gestiti da remoto all'insaputa dei proprietari.
GTIG e altri specialisti del settore hanno concluso che il produttore cinese di TV box Videostrong Technology Co. fosse responsabile dell'inclusione del malware, e Google ha dichiarato di aver interrotto i rapporti con l'azienda. XCPE prende il nome da un componente centrale del codice dannoso. Sebbene la maggior parte delle infezioni riguardasse TV box, gli investigatori hanno trovato lo stesso malware anche in apparecchiature di telemedicina basate su Android, macchine per karaoke e sistemi di segnaletica digitale. Si tratta di prodotti Internet of Things (IoT), ossia dispositivi di uso quotidiano connessi a Internet.
Il malware installava software che rendeva disponibile l'indirizzo Internet di ogni abitazione attraverso più servizi di residential proxy. Un residential proxy instrada l'attività web di un'altra persona attraverso una normale connessione Internet domestica, nascondendo la posizione reale del cliente e facendo apparire il traffico come proveniente dall'abitazione interessata. Questi servizi possono essere utilizzati per account takeover, frodi pubblicitarie e raccolta su larga scala di contenuti online destinati a progetti di intelligenza artificiale. GTIG ha affermato che Videostrong guadagnava vendendo l'accesso nascosto ad affiliati criminali e distribuendo sui dispositivi infetti ulteriori moduli malware appartenenti a tali affiliati.
Google richiede ai produttori di dispositivi Android di superare test di compatibilità e sicurezza concepiti per impedire la diffusione di prodotti dannosi. Secondo GTIG, Videostrong aveva comunque trovato un modo per installare il proprio software subito dopo il primo avvio di un dispositivo. Google ha dichiarato di aver ora risolto questa vulnerabilità. Secondo GTIG, i proprietari non avevano consapevolmente accettato che i loro dispositivi o le loro connessioni fossero messi a disposizione come canale di distribuzione per altri operatori.
Diversi software development kits dei fornitori di residential proxy, ossia pacchetti di codice utilizzati per aggiungere un servizio a un'applicazione o a un dispositivo, venivano scaricati regolarmente dai sistemi infettati da XCPE. GTIG ha citato AppSalt, noto anche come Honeygain, di proprietà di Oxylabs, con sede a Vilnius. Oxylabs è stata rilanciata con il nome Source nell'ottobre 2026, dopo aver ricevuto 130 milioni di dollari dalla società di private equity Warburg Pincus, in un'operazione che, secondo quanto riportato, valutava l'azienda 3,6 miliardi di dollari. Oxylabs non ha risposto a una richiesta di commento da parte di KrebsOnSecurity. Tra gli altri servizi identificati da GTIG figuravano EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb e GaGaNode.
Anche NetNut, gestito dalla società israeliana quotata in borsa Alarum Technologies, è stato collegato a XCPE. Nel luglio 2026, l'FBI e alcuni partner del settore hanno sequestrato centinaia di domini associati a NetNut, affermando che gestiva una botnet separata chiamata Popa, che trasformava anch'essa i TV box in residential proxy. Secondo Synthient, un'azienda che monitora i fornitori di proxy, il malware di Videostrong distribuiva inoltre software per il servizio proxy Grass. Una precedente ricerca di Censys aveva rilevato software Grass incluso nel dispositivo di streaming TV Superbox, sebbene Grass abbia negato qualsiasi affiliazione con il produttore del box.
Synthient aveva già indagato su Kimwolf, un'altra botnet che aveva infettato rapidamente milioni di set-top box Android e lanciato una serie di distributed denial-of-service attack che l'azienda ha descritto come da record. Un distributed denial-of-service attack, o DDoS attack, sovraccarica un servizio online con traffico proveniente contemporaneamente da molti dispositivi. Synthient ha scoperto che Kimwolf sfruttava una vulnerabilità diffusa nei servizi di residential proxy per raggiungere altri dispositivi Android all'interno delle reti locali degli ignari proprietari di TV box.
Quella ricerca ha spinto decine di fornitori di proxy ad applicare patch alle proprie reti, frammentando Kimwolf in gruppi più piccoli i cui ripetuti DDoS attack erano più facili da gestire per gli operatori di rete. Ha inoltre attirato l'attenzione della Motion Picture Association, che rappresenta i principali studi di Hollywood. L'associazione ha collaborato con Synthient per acquistare ed esaminare popolari TV box Android, inclusi prodotti interessati da Kimwolf e da altre botnet IoT.
In una ricerca pubblicata in concomitanza con il takedown di XCPE, Synthient ha esaminato un popolare box MECOOL preinfettato, venduto dalla società cinese quotata in borsa Skyworth Technology. Ha concluso che il prodotto includeva il malware di Videostrong e installava AppSalt/Honeygain e altri componenti proxy. Synthient ha dichiarato che la popolarità di MECOOL è aumentata rapidamente dopo che il prodotto è apparso nel 2023 sul canale YouTube identificato nella ricerca come Linux Tech Tips, che conta quasi 17 milioni di iscritti. Il canale ha riferito a Synthient di aver successivamente aggiornato il video per descrivere esplicitamente il prodotto come una truffa e di aver rimosso i relativi link di affiliazione.
Superbox e prodotti Android TV analoghi avevano conquistato clienti in modo simile grazie a influencer su TikTok e altre piattaforme social, che pubblicizzavano l'accesso a centinaia di servizi televisivi a pagamento piratati in cambio di un unico pagamento. Questa proposta commerciale rappresenta un segnale d'allarme per gli acquirenti, perché il comportamento nascosto del dispositivo può essere difficile da individuare osservando soltanto le sue funzioni di streaming.
GTIG stima che l'azione contro XCPE potrebbe interrompere l'accesso ad almeno altri 10 milioni di dispositivi compromessi. La stima si basa sul fatto che gli affiliati di Videostrong coinvolti nei proxy e nelle frodi pubblicitarie utilizzano, ciascuno, canali di distribuzione diversi da XCPE per i propri moduli. Synthient ha descritto il totale confermato di 1,3 milioni di dispositivi come estremamente prudente e ha affermato che la portata reale era probabilmente molto maggiore, definendo l'operazione la più grande azione mai osservata contro TV box dotati di backdoor. Una backdoor è un accesso nascosto che consente a un'altra parte di controllare un dispositivo o installare software senza le normali autorizzazioni.
Le aziende che devono decidere se consentire l'accesso degli apparecchi connessi alle reti aziendali possono utilizzare AEU-I per servizi IT orientati innanzitutto alla sicurezza, infrastruttura e consulenza. Per i lettori che desiderano ulteriori dettagli tecnici, il materiale pubblicato include un white paper di Plume Security Labs, un approfondimento di Black Lotus Labs, l'analisi di TrendAI e l'elenco di Synthient dei dispositivi interessati, organizzato per numero di modello.