Google ha riferito di aver interrotto a fine ottobre 2026 l’infrastruttura di comando della botnet Android x.cpe, che coinvolgeva oltre 1,3 milioni di dispositivi, soprattutto TV box. L’intervento ha colpito i server e i domini usati per impartire comandi; il malware, però, era installato nel firmware dei dispositivi. Google Threat Intelligence Group ha descritto l’operazione e le misure adottate.
L’intervento ha colpito l’infrastruttura di comando
Google ha attribuito con elevata fiducia a Videostrong Technology Co. lo sviluppo, la diffusione e la gestione di x.cpe a fini di lucro. La stessa risposta ha incluso azioni legali contro l’infrastruttura di comando, l’esclusione di Videostrong e delle sue future affiliate dalla produzione e vendita di dispositivi Android certificati e dalla fornitura di software ai produttori certificati. Google ha inoltre indicato modifiche ai controlli sull’integrità del firmware e alle procedure di revisione.
La botnet coinvolgeva soprattutto TV box Android
Google ha parlato di oltre 1,3 milioni di dispositivi Android. In un conteggio distinto, TrendAI ha registrato 1.472.554 dispositivi su 206 modelli nella finestra dal 3 giugno al 1° ottobre. I due dati hanno ambiti dichiarati diversi; il conteggio di TrendAI è riferito a quel periodo.
La maggior parte dei dispositivi coinvolti erano TV box, ma x.cpe è stato segnalato anche su apparecchi per la telemedicina, macchine per il karaoke e schermi per la segnaletica digitale. Synthient ha diffuso un elenco di 182 nomi di modello. Il suo riscontro sul MECOOL KM9PRO Max riguarda un esemplare acquistato, sul quale x.cpe era preinstallato.
Come comunicava x.cpe
La backdoor, chiamata anche com.oemservice in alcune versioni, era incorporata nel firmware e operava con privilegi di sistema. Le capacità attribuitele comprendevano l’installazione silenziosa di app, l’esecuzione di comandi e la raccolta di schermate, tasti digitati, informazioni su account e dispositivi, elenchi di app e registri di sistema. Tra gli usi segnalati figuravano il traffico attraverso proxy residenziali, le frodi pubblicitarie e il caricamento di altro malware.
Un’analisi tecnica di NetmanageIT descrive una richiesta HTTP iniziale di configurazione, contenente un oggetto JSON cifrato con AES e dati di telemetria del dispositivo, seguita da una connessione MQTT persistente per la comunicazione con i sistemi di comando. Nell’attività descritta da NetmanageIT, le interazioni più frequenti riguardavano l’installazione, la rimozione e la configurazione dei moduli.
Che cosa cambia per i dispositivi
L’interruzione del canale di comando riguarda la comunicazione con gli operatori; x.cpe, invece, risiedeva nel firmware e poteva ripristinarsi dalla partizione /oem/ dopo il riavvio. Rimuovere una normale app non eliminava quindi il componente incorporato nel firmware.
Per affrontare una backdoor di questo tipo, TrendAI ha indicato l’intervento del produttore, la protezione della piattaforma o la sostituzione del dispositivo. L’elenco di modelli e il caso del singolo MECOOL KM9PRO Max restano riferimenti di ambito diverso: il primo raccoglie nomi associati alla campagna, il secondo riguarda un solo esemplare.
