Google e alcuni partner avrebbero interrotto i domini e l’infrastruttura di comando e controllo della botnet XCPE, usata soprattutto su set-top box Android TV. L’azione avrebbe spezzato il collegamento tra il malware e i server che gli inviavano istruzioni; riguarda però l’infrastruttura remota, mentre l’impianto era integrato nel firmware dei dispositivi.
L’interruzione ha colpito l’infrastruttura di comando
I domini di comando e controllo sono gli indirizzi dei server con cui il malware comunica per ricevere istruzioni. Google avrebbe collegato la campagna a Videostrong Technology Co. e, dopo l’intervento, avrebbe interrotto i rapporti con l’azienda e vietato la produzione di dispositivi con app Google preinstallate.
Interrompere quei domini non equivale a rimuovere il codice dal firmware. Il conteggio dei dispositivi coinvolti e l’intervento sulla rete di controllo descrivono aspetti diversi della vicenda.
Il conteggio di TrendAI copre 206 modelli
TrendAI avrebbe rilevato 1.472.554 dispositivi infetti su 206 modelli tra giugno e ottobre 2026. La maggior parte dei dispositivi coinvolti erano box Android TV; tra gli altri figuravano dispositivi IoT basati su Android.
Play Protect attivo non certifica la bonifica
Google avrebbe consigliato agli utenti di controllare che Play Protect sia attivo e di scegliere set-top box di produttori affidabili. TrendAI avrebbe rilevato che l’impianto, installato come app di sistema firmata con la chiave del produttore, disattivava Play Protect e non poteva essere rimosso dagli utenti. Perciò, su un dispositivo coinvolto, trovare Play Protect attivo non dimostra che il malware sia stato rimosso.
