Google ha smantellato una botnet composta da oltre 1,3 milioni di set-top box Android infettati dalla backdoor XCPE. Secondo Mountain View, il malware non è stato introdotto da attaccanti esterni: è stato installato deliberatamente da Videostrong Technology, produttore cinese che aveva ottenuto la licenza per l'uso dei servizi Google, per monetizzare l'accesso venduto ai cybercriminali.
L'operazione è stata condotta in collaborazione con la National Police Agency del Giappone, Lumen, HUMAN Security, Plume, Synthient e TrendAI. Videostrong ha sfruttato la backdoor vendendo l'accesso ad affiliati che installavano moduli aggiuntivi per frodi pubblicitarie e per trasformare i dispositivi in proxy residenziali, utili a nascondere la reale provenienza del traffico illecito.
Come funzionava la backdoor
Il malware era inserito direttamente nel firmware durante la produzione, quindi non poteva essere rimosso: una persistenza che garantiva il controllo anche dopo eventuali reset. La funzione principale era stabilire una connessione con il server C2 (command and control), da cui i criminali inviavano comandi remoti e distribuivano ulteriori moduli malevoli.
In dettaglio, la backdoor permetteva di scaricare file APK, disattivare Google Play Protect, eseguire script, catturare screenshot e raccogliere informazioni come account, tipo di dispositivo ed elenco delle app installate. Dal server C2 venivano inoltre scaricati i moduli per la monetizzazione — capaci di generare false interazioni pubblicitarie — e quelli associati ai servizi di proxy residenziale.
Licenza revocata e cosa fare
Dopo aver ottenuto l'autorizzazione dal giudice, Google ha smantellato l'infrastruttura gestita da Videostrong e ha revocato la licenza Android al produttore. Chi possiede uno di questi set-top box dovrebbe installare un firmware pulito, se disponibile, oppure disconnettere il dispositivo da Internet. La raccomandazione resta una sola: acquistare esclusivamente prodotti certificati e con Play Protect attivo.
