Google smantella una botnet Android da 1,3 milioni di dispositivi: Videostrong esclusa dalla certificazione
Google ha avviato azioni legali per mettere offline l'infrastruttura di comando e controllo dietro x.cpe, un backdoor preinstallato nel firmware Android che TrendAI ha contato su 1.472.554 dispositivi tra il 3 giugno e il 1° ottobre 2026. Il dato copre 206 modelli, in gran parte set-top box Android TV, e Google lo definisce un minimo, non un tetto. Nel proprio rapporto l'azienda afferma che tagliare i server degli affiliati della botnet dovrebbe recidere anche l'accesso ad almeno altri 10 milioni di dispositivi compromessi, perché gli stessi gruppi criminali diffondono malware per altre vie.
Cosa poteva fare il backdoor
x.cpe, tracciato anche come com.oemservice, gira come app di sistema con i privilegi di android.uid.system. È incorporato nell'immagine firmware e non viene installato in seguito, quindi un ripristino di fabbrica non lo rimuove: il pacchetto viene ripristinato dalla partizione /oem/ al riavvio. Secondo il team threat intelligence di Google, l'impianto disattiva la verifica delle app di Play Protect impostando package_verifier_user_consent a -1, poi apre un canale MQTT persistente verso gli operatori. L'analisi di TrendAI, riassunta su The Hacker News, descrive un'architettura a due stadi in cui una richiesta HTTP di bootstrap consegna al dispositivo il suo server dei comandi.- Installazione e rimozione silenziosa di app
- Esecuzione arbitraria di comandi shell, comprese reverse shell
- Cattura dello schermo e iniezione di tasti
- Raccolta di dati degli account, elenchi di app e log di sistema
- Ricognizione della sottorete locale
- Reinstallazione dopo il riavvio dalla partizione firmware
I proxy residenziali erano il prodotto
La maggior parte dei moduli di monetizzazione trasformava l'hardware infetto in nodi di uscita di proxy residenziali o vendeva banda inutilizzata. Il rapporto di Google cita SDK di proxy come Linkfog, Jaguar, AppSalt, BWM, GaGaNode, NetNut e Traffmonetizer, e nota che un singolo dispositivo poteva eseguirne fino a tre insieme. Altri moduli, tracciati come Spirit, Moyu, Bird, Fission e HiddenView, generavano impression pubblicitarie false. Una rete di proxy residenziali vale quanto la varietà e la reputazione dei suoi IP di uscita, e i dispositivi domestici offrono esattamente questo: indirizzi che sembrano normali abbonati in banda larga, non range di data center. Chi compra questa capacità la usa per instradare scraping, credential stuffing e frodi che altrimenti verrebbero bloccati. Quando il nodo di uscita è un box TV nel salotto di qualcuno, il traffico viene attribuito alla connessione di quella casa.Un produttore che infetta deliberatamente i propri utenti con malware viola in modo inaccettabile la fiducia e rappresenta un rischio serio per quelle persone. - GooglePer chi tratta l'identità di rete come una questione operativa, la lezione è che un elettrodomestico compromesso può mettere sulla tua linea traffico che non hai generato. Lo stesso ragionamento vale per l'hardware con cui raggiungi Tor o gestisci qualcosa di sensibile; la checklist generale è nella nostra guida alla sicurezza dei dispositivi prima di Tor.
Attribuzione: un documento firmato e un IP condiviso
Google si dice altamente sicura che Videostrong Technology, con sede a Shenzhen, abbia sviluppato, distribuito e gestito il backdoor deliberatamente, vendendo l'accesso ad affiliati criminali. Le prove includono un documento firmato dal direttore R&S di Videostrong trovato su un server della botnet, un dominio Videostrong che risolve sullo stesso IP del pannello di controllo degli operatori, un account GitHub chiamato yf-videostrong usato per ospitare le release e x.cpe che passa le impostazioni del server dei comandi ad altre app Videostrong come YokaTV Player. Charley Snyder di Google ha detto a CyberScoop che gli operatori cambiavano continuamente configurazione per eludere il rilevamento prima e dopo il lancio. Synthient, uno dei partner dell'operazione, è arrivata autonomamente alla stessa conclusione. Ha comprato un MECOOL KM9PRO Max al dettaglio e vi ha trovato il backdoor preinstallato, poi ha pubblicato un elenco di 182 nomi di modello osservati nella campagna, precisando che il solo nome del modello non prova che una singola unità sia infetta. Plume, che fornisce software di gestione di router e dispositivi, ha trovato più di una dozzina di tipi di dispositivo in contatto con il server di controllo della botnet, in prevalenza a marchio MECOOL.L'operazione e ciò che lascia dietro
L'intervento, condotto con l'Agenzia nazionale di polizia giapponese e sostenuto da Lumen, HUMAN Security, Plume, Synthient e TrendAI, ha messo offline domini e server di controllo di Videostrong e i domini di comando e controllo di oltre una dozzina di famiglie di malware caricate tramite il backdoor. Google ha inoltre vietato a Videostrong e alle future controllate di produrre o vendere dispositivi Android certificati o di fornire software ad altri produttori certificati. The Register riferisce che l'azienda ha interrotto i rapporti con il fornitore; Videostrong non ha risposto alle richieste di commento. Google afferma di aver rafforzato la verifica dell'integrità del firmware per i dispositivi Android TV certificati e di aver cambiato il processo di revisione, ma il problema strutturale resta. La certificazione prova un dispositivo prima della spedizione; il codice malevolo veniva caricato dopo il primo avvio, esattamente la finestra che quei test non coprono. I dispositivi già sul campo mantengono l'impianto finché il firmware non viene sostituito e, per TrendAI, la bonifica richiede l'intervento del produttore, la protezione della piattaforma o la sostituzione dell'apparecchio.Passi pratici per proprietari e acquirenti
- Considera ad alto rischio ogni modello nell'elenco pubblicato da Synthient; isolalo dalle reti fidate o sostituiscilo.
- Blocca su router o resolver DNS i domini di bootstrap e MQTT documentati.
- Metti TV, box ed elettrodomestici smart su una VLAN o rete ospiti separata, senza route verso le interfacce di gestione.
- Diffida delle app che pagano per banda inutilizzata o per condividere la connessione; Google indica l'iscrizione silenziosa e senza consenso come la via più comune verso le reti di proxy.
- Tieni attivo Play Protect e preferisci dispositivi di produttori nell'elenco dei partner certificati Android TV.