# Google smantella la botnet XCPE: la backdoor nei box Android TV era del produttore URL: https://menteinformatica.it/sicurezza-privacy/botnet-xcpe-box-android-tv/ Autore: Giorgio Perillo Aggiornato: 2026-11-03 Categoria: Sicurezza e Privacy --- Google, insieme a un gruppo di partner che comprende anche la polizia giapponese, ha smantellato la botnet XCPE, una rete di oltre **1,3 milioni di box Android TV** infetti e controllati a distanza in tutto il mondo. Secondo Google, a piazzare la backdoor è stato il produttore stesso dei box, la cinese **Videostrong Technology**. ## Il malware era nel firmware di fabbrica Come ricostruisce [DDay](https://www.dday.it/redazione/59314/bloccata-botnet-di-13-milioni-di-box-android-tv-il-produttore-aveva-inserito-appositamente-una-backdoor), Videostrong è un produttore con sede a Shenzhen che realizza box Android TV e altri dispositivi connessi, in parte certificati da Google, venduti ad altre aziende o rimarchiati. L’unico marchio citato esplicitamente da Google è **MECOOL**. Il codice malevolo stava nel firmware installato in fabbrica e si attivava di nascosto dopo la prima accensione. Così sfuggiva ai controlli di integrità che Google chiede ai produttori certificati. Il guadagno arrivava dalla vendita dell’accesso alla botnet ad affiliati criminali, che poi installavano i propri moduli. Google ha condannato il comportamento del produttore in una dichiarazione riportata da [TechRadar](https://www.techradar.com/pro/security/google-leads-takedown-of-massive-xcpe-malware-botnet-made-of-more-than-1-3-million-android-tv-streaming-boxes-and-claims-the-items-were-intentionally-set-up-for-criminal-access). “Un produttore di dispositivi che infetta intenzionalmente i propri utenti con un malware commette un inaccettabile abuso di fiducia e costituisce un rischio serio per quegli utenti.” TechRadar ## Cosa poteva fare XCPE su un box infetto Una volta collegato al server di comando (in gergo C2, il computer da cui partono gli ordini), il box finiva nelle mani di chi aveva comprato l’accesso. Le funzioni documentate sono parecchie. - usare il box come **proxy residenziale**, cioè far passare traffico illecito dalla connessione di casa per nasconderne la vera provenienza - riprodurre annunci in background e generare false interazioni pubblicitarie - creare traffico verso siti web per gonfiarne le visite - scaricare file APK e installare altri malware, comprese altre backdoor - disattivare Google Play Protect ed eseguire script - catturare screenshot e raccogliere informazioni su account, tipo di dispositivo e app installate Nel mirino non c’erano soltanto i box per la TV. Tra i dispositivi colpiti ci sarebbero anche player per il digital signage (gli schermi informativi e pubblicitari), apparecchi per il karaoke e per la telemedicina. ## Server spenti e Videostrong fuori da Android All’operazione hanno partecipato anche Lumen, HUMAN Security, Plume, Synthient e TrendAI. Con l’autorizzazione di un giudice, Google ha abbattuto i domini e i server che controllavano la botnet, insieme ai domini di comando usati da oltre una dozzina di famiglie di malware caricate attraverso XCPE. Videostrong, con qualsiasi futura controllata o affiliata, è stata **bandita a tempo indeterminato**. Non può più produrre o certificare dispositivi Android né fornire software ai partner ufficiali. Google ha anche rafforzato i controlli sul firmware degli Android TV certificati, per intercettare modifiche che arrivano dopo la prima configurazione. **Attenzione** Spegnere i server ha fermato la botnet, ma **la backdoor resta nel firmware** dei box già venduti. Essendo installata in fabbrica, non si toglie come una normale app. ## Cosa fare se hai un box Videostrong I resoconti consultati non forniscono un elenco completo dei modelli rimarchiati da Videostrong venduti in Italia. La sola presenza di Android TV non dimostra che un box sia infetto. Se hai un box Videostrong, Punto Informatico consiglia di installare un **firmware pulito**, se esiste, oppure di scollegarlo da Internet. Google aggiunge qualche regola valida per chiunque. - tieni attivo Google Play Protect, la protezione antimalware integrata in Android - scarica app solo da store di cui ti fidi - controlla le autorizzazioni di VPN e proxy di terze parti - diffida delle app che ti pagano per condividere la banda inutilizzata o la connessione - per i prossimi acquisti preferisci i prodotti dei partner ufficiali, di cui Google pubblica l’elenco ## Stavolta il problema è dentro la certificazione Dispositivi Android con malware preinstallato non sono una novità. Nel luglio 2025 Google aveva fatto causa ai responsabili di BadBox 2.0, botnet da oltre 10 milioni di dispositivi non certificati. Un resoconto dell’ottobre 2026 descriveva la scoperta di Bitdefender di [malware sui telefoni Doogee e Cubot](https://menteinformatica.it/sicurezza-privacy/midnight-mimosa-malware-android-firmware/), inserito però lungo la catena di fornitura all’insaputa dei produttori. Per chi compra, una certificazione è utile solo quanto i controlli che la sostengono. È sulla qualità di quelle verifiche che si gioca la credibilità del programma.