Google colpisce XCPE, la botnet preinstallata su 1,3 milioni di TV box

Un TV box, il piccolo decoder Android che porta le app di streaming sul televisore, può far partire un film come sempre e, nello stesso momento, prestare la connessione di casa a sconosciuti. È ciò che è accaduto con XCPE, una botnet, cioè una rete di dispositivi infettati e comandati a distanza, che ha coinvolto oltre 1,3 milioni di TV box compromessi già durante la produzione. Nel rapporto del 2 novembre 2026 Google attribuisce con elevata confidenza lo sviluppo e la gestione intenzionale dell'operazione a Videostrong Technology, produttore cinese che realizza hardware e software anche per altri marchi. Il malware arrivava nelle case incorporato nell'apparecchio, prima di qualsiasi scelta dell'acquirente.

Il malware arriva già a bordo

La compromissione riguardava il firmware, il software di base che governa l'apparecchio. Una backdoor, cioè una funzione nascosta di accesso remoto, permetteva di scaricare altri componenti dopo l'accensione, e una copia persistente la reinstallava a ogni riavvio anche dopo una rimozione manuale.

Google ha colpito i server di controllo, quelli da cui i criminali impartivano gli ordini ai dispositivi, insieme a partner della sicurezza e alla polizia giapponese. Videostrong e le sue future affiliate sono state escluse dalla produzione di dispositivi Android certificati.

Riconoscere il modello coinvolto

Per chi possiede un TV box la prima difficoltà è capire se il proprio sia interessato. Videostrong lavora come produttore e progettista per altri venditori: il nome sulla confezione può quindi differire da quello dell'azienda responsabile del software. L'indagine tecnica collegata all'operazione ha analizzato un MECOOL KM9PRO Max, individuando un componente con privilegi di sistema capace di ricevere istruzioni, installare applicazioni e comunicare informazioni sul dispositivo e sull'account utilizzato.

L'archivio pubblico degli indicatori comprende numerose denominazioni, fra cui KM9PRO, KM2PLUS e LEAP-S1, e avverte che il solo nome del modello è insufficiente a confermare un'infezione. Una stessa denominazione commerciale può comparire su configurazioni differenti: la verifica richiede il confronto con versione del firmware, identificativi software e attività di rete. Conservare questi dati insieme alla documentazione d'acquisto rende più precisa una richiesta di assistenza al venditore, mentre trasformare l'elenco in una condanna di interi marchi produrrebbe diagnosi poco affidabili.

Il nome sulla confezione può nascondere un produttore diverso da quello del software

Un rischio che non si vede

Finché il TV box funziona bene, l'utente non ha motivo di sospettare. La scoperta è partita dalle connessioni ripetute verso un dominio sospetto osservate nella rete, mentre gli apparecchi continuavano a lavorare normalmente. Il rischio concreto comprende la raccolta di informazioni su dispositivi, rete e account, oltre all'utilizzo della banda domestica per attività di terzi.

Nei servizi di proxy residenziale il traffico altrui attraversa il TV box e raggiunge Internet con l'indirizzo della famiglia: all'esterno sembra provenire da quella connessione. La compromissione del box, da sola, resta distinta dalla prova di un'infezione degli altri apparecchi domestici.

Dove nasce il guadagno

Il valore economico dipende dalla possibilità di sfruttare hardware già acquistato e collegato da qualcun altro. La pubblicità fraudolenta aggiunge un secondo canale: applicazioni nascoste simulano attività e consumano budget destinati a utenti reali. Il precedente BADBOX 2.0 aiuta a capire la scala del fenomeno. Nel rapporto del 5 marzo 2025 il picco delle richieste d'asta pubblicitaria fraudolente associate alle sue applicazioni malevole raggiungeva 5 miliardi alla settimana. Sono richieste generate dal sistema, da distinguere sia dalle pubblicità effettivamente vendute sia dai ricavi, e il volume riguarda BADBOX, non XCPE.

L'azione ha interessato anche le infrastrutture degli affiliati. Google stima che l'interruzione possa tagliare l'accesso ad almeno 10 milioni di ulteriori dispositivi, raggiunti attraverso altri canali. Si tratta di una previsione sull'effetto dell'operazione, distinta dal conteggio dei TV box XCPE e dalla loro bonifica. Il bersaglio diventa il mercato dell'accesso remoto ai dispositivi, dove produttori di malware e intermediari possono condividere la stessa base di apparecchi.

Sostituire o bonificare il box

Qui emerge una distinzione decisiva. La comunicazione dell'operazione descrive la minaccia come rimediata attraverso il blocco dell'infrastruttura; le raccomandazioni tecniche per i proprietari chiedono invece di dismettere i dispositivi compromessi. Le due indicazioni misurano aspetti diversi: interrompere i collegamenti criminali riduce il pericolo operativo, mentre certificare l'integrità del firmware richiede una verifica ulteriore. Per un apparecchio identificato come compromesso, scollegarlo dalla rete e rivolgersi al venditore per la sostituzione è una scelta prudente. Un semplice ripristino delle impostazioni offre garanzie insufficienti, perché la persistenza è incorporata nel software di base.

Un malware nel firmware resiste al ripristino delle impostazioni di fabbrica

La sostituzione ha un costo economico e ambientale. Il precedente di Triada, un malware per Android preinstallato su alcuni dispositivi, mostra che un intervento sulla filiera può funzionare: nel 2019 la collaborazione con i produttori consentì di distribuire aggiornamenti di sistema che rimuovevano l'infezione. Per XCPE un percorso analogo richiederebbe immagini del firmware pulite, verifiche indipendenti e un canale di distribuzione attendibile. Le fonti disponibili descrivono quel precedente, senza documentare una soluzione equivalente pronta per questi TV box. Scaricare firmware da archivi sconosciuti trasferirebbe semplicemente la fiducia a un altro soggetto.

Cosa controllare prima di acquistare

Per gli acquisti futuri la certificazione resta un controllo utile. Nel Play Store, il negozio di app di Google, la voce dedicata si trova nelle impostazioni, nella sezione Informazioni. Va distinta da Google Play Protect, la protezione che controlla le applicazioni dannose e che conviene mantenere attiva. La presenza del negozio sul dispositivo offre un'indicazione insufficiente: occorre verificare lo stato di certificazione. Questo controllo documenta il superamento dei test previsti e va accompagnato dalla disponibilità di aggiornamenti e assistenza del produttore.

L'Europa chiede più responsabilità

In Europa la responsabilità lungo il ciclo di vita dei prodotti è il principio del Cyber Resilience Act, il regolamento sulla sicurezza dei prodotti digitali. Gli obblighi di segnalazione si applicano dall'11 settembre 2026, mentre i principali requisiti scatteranno l'11 dicembre 2027. Fabbricanti, importatori e distributori dovranno inserirsi in un sistema che comprende gestione delle vulnerabilità e manutenzione della sicurezza. In Italia il decreto di adeguamento ha ricevuto l'approvazione preliminare del Consiglio dei ministri il 2 ottobre 2026: una fase dell'iter, distinta dall'adozione definitiva.

Per gli operatori di connettività a banda larga e per i distributori, questo cambia già le domande da rivolgere ai fornitori. Alla certificazione dichiarata si affiancano la richiesta di audit indipendenti del firmware e la capacità di osservare il comportamento dell'hardware nella rete. Il punto ancora aperto riguarda ciò che accade dopo la vendita: chi verifica il codice scaricato successivamente, chi mantiene quel controllo e quale intervento viene offerto al proprietario quando la fiducia nel produttore viene meno.