Secondo quanto riferiva BGR sui risultati del Google Threat Intelligence Group (GTIG), XCPE era stato trovato su oltre 1,3 milioni di box Android TV associati a Videostrong Technology. Google aveva interrotto i rapporti con l’azienda e l’infrastruttura usata per controllare il malware era stata colpita; questo, però, non equivaleva alla bonifica del firmware installato sui dispositivi.
Come agiva la backdoor XCPE
XCPE era descritto come un malware inserito nel firmware e dotato di privilegi di sistema. Secondo BGR, all’avvio inviava ai server di Videostrong dati del dispositivo, tra cui il numero di serie e l’indirizzo MAC. Gli operatori potevano poi installare applicazioni o eseguire comandi di sistema da remoto.
BGR riferiva inoltre che Google aveva rilevato fino a tre SDK per proxy residenziali su un singolo box. Alcuni dispositivi sarebbero stati usati anche per frodi pubblicitarie, acquisire schermate in tempo reale e recuperare informazioni sugli account. Il campione analizzato da Synthient era un Mecool KM9PRO Max acquistato alla fine del 2025; secondo il resoconto, il pacchetto individuato si chiamava com.oemservice.
La campagna riguardava anche altri tipi di dispositivi. BGR riferiva che XCPE era stato trovato su apparecchi per la telemedicina, macchine per il karaoke e schermi per la segnaletica digitale.
L’interruzione dei server non ripulisce il firmware
BGR collocava l’interruzione dei server e dei domini di comando nella settimana precedente al proprio articolo del 4 novembre 2026. La pubblicazione del rapporto di GTIG era invece datata 2 novembre 2026. In quel periodo, Synthient stimava che circa 500.000 box contattassero ancora i server ogni giorno.
L’interruzione dell’infrastruttura ostacola il controllo remoto, ma non rimuove da sola il malware già presente. BGR riferiva che, dopo un riavvio, il firmware poteva reinstallare XCPE: eliminare soltanto il pacchetto non garantiva quindi la bonifica del dispositivo.
Cosa può fare chi possiede un box
La presenza del modello nell’elenco di oltre 180 modelli esaminati da Synthient non dimostra che una singola unità sia infetta. Una corrispondenza può essere un indizio, non una diagnosi del dispositivo.
Per i box ritenuti coinvolti, Synthient consigliava, secondo BGR, di scollegarli dalla rete, cambiare la password del Wi-Fi e aggiornare il firmware del router. Google Play Protect non era una garanzia: BGR riferiva che XCPE poteva disattivare la verifica delle app.
Come precauzione generale per la rete domestica, Kaspersky raccomanda di collegare TV box e altri dispositivi smart a una rete Wi-Fi separata, mantenendo telefoni, computer e unità di archiviazione in rete sulla rete principale. Questa segmentazione può limitare i dispositivi raggiungibili da un box compromesso, ma non elimina XCPE dal firmware.
Separare il box dalla rete principale può ridurre i possibili accessi laterali; non sostituisce la bonifica del dispositivo.
