Il 2 novembre 2026 Google ha annunciato di aver interrotto l’infrastruttura della backdoor XCPE e di aver tagliato i rapporti con Videostrong Technology Co. Le stime collegate alla campagna parlano di circa 1,3 milioni di dispositivi, per la maggior parte box Android TV. Per chi controlla il proprio modello, però, una corrispondenza con l’elenco dei dispositivi osservati non basta a stabilire che la singola unità sia infetta.
Che cosa ha annunciato Google
Google ha dichiarato di aver interrotto l’infrastruttura di comando e controllo, o C2, usata da XCPE e dai moduli degli affiliati. Ha anche detto di aver chiuso i rapporti con Videostrong, esclusa dalla produzione di dispositivi Android certificati e dalla fornitura di software ai produttori certificati. Google ha inoltre modificato la procedura di revisione dei dispositivi dopo aver individuato una lacuna nei test di certificazione.
La stima di circa 1,3 milioni riguarda i dispositivi associati alla rete XCPE: la maggior parte erano set-top box Android TV, ma tra i dispositivi coinvolti figuravano anche apparecchi Android per karaoke, telemedicina e segnaletica digitale. Google ha indicato separatamente che l’interruzione dei domini C2 degli affiliati poteva togliere l’accesso a almeno altri 10 milioni di dispositivi compromessi. Questa seconda stima riguarda l’accesso all’infrastruttura di controllo degli affiliati, non un conteggio aggiuntivo di infezioni XCPE.
Google ha attribuito a Videostrong lo sviluppo e la gestione intenzionali della backdoor a fini economici. È la valutazione dell’azienda: il codice, secondo Google, era nascosto durante i test e si attivava dopo il primo avvio del dispositivo.
Come operava la backdoor XCPE
XCPE era integrata nel firmware, cioè nel software di base che controlla il dispositivo. Dopo il primo avvio poteva attivarsi e comunicare con server remoti. Google ha descritto moduli degli affiliati impiegati per frodi pubblicitarie, reti proxy residenziali e distribuzione di altro malware; tra le attività attribuite alla campagna figuravano anche schermate acquisite, inserimento di tasti, raccolta di informazioni sugli account e sul sistema e comandi remoti.
La distinzione tra il codice installato sul box e i server che lo controllano è rilevante: l’interruzione dei server limita l’infrastruttura remota, ma non equivale di per sé alla rimozione del codice dal firmware.
Che cosa indica l’elenco dei modelli
Synthient pubblica stringhe di modelli osservate nella campagna, tra cui KM9PRO, KM9PRO_MAX, KM7PLUS, LEAP-S1 e UHD_Google_TV_STB. La sua analisi avverte che trovare lo stesso nome di modello non conferma che una specifica unità sia compromessa. Il nome è quindi un indizio per identificare un possibile riscontro, non una diagnosi del singolo apparecchio.
Una scheda associata a KM9PRO riporta la marca MeCool, il produttore SkyworthDigital, il nome prodotto HPR311-MECOOL e il modello UHD Google TV STB. Sono campi distinti: per confrontare un box con l’elenco, conta il codice esatto del modello, non soltanto la marca riportata sulla confezione.
Rimuovere l’app visibile non bastò nel caso descritto
Business Standard ha riferito che, secondo i riscontri di Google, XCPE poteva reinstallarsi dopo il riavvio anche quando era stata rimossa la sua applicazione visibile. Nel caso descritto, quindi, disinstallare l’app non aveva eliminato la persistenza nel firmware.
La risposta di MECOOL
In un video pubblicato il 5 novembre, UG Tech legge un’email attribuita al servizio di assistenza tecnica post-vendita di MECOOL. La risposta afferma che Videostrong produce i dispositivi del marchio, che aveva presentato un ricorso a Google e che MECOOL non consigliava agli utenti comuni di smettere di usare i propri apparecchi. È la posizione del servizio clienti, non una valutazione indipendente della sicurezza di ogni dispositivo.
