Google abbatte x.cpe: 1,3 milioni di TV box con backdoor nel firmware, usati come proxy residenziali

Google ha annunciato di aver interrotto il controllo di una vasta botnet Android composta da oltre 1,3 milioni di dispositivi, in larga parte TV box e set top box. La rete malevola, identificata come x.cpe, avrebbe perso l’accesso ai propri server di comando e controllo a fine ottobre grazie a un’operazione che ha incluso azioni legali per disattivare domini e infrastrutture usate dagli attaccanti.

Secondo le analisi, la botnet non nasce da una semplice infezione successiva all’acquisto, ma da una backdoor inserita direttamente nel firmware dei dispositivi. Questo tipo di compromissione è particolarmente pericoloso perché agisce a livello di sistema e rende difficile o impossibile la rimozione da parte dell’utente. La backdoor x.cpe risulta eseguita come app di sistema con privilegi elevati e sarebbe in grado di contattare i server C2, attendere istruzioni e installare software in modo silenzioso. Un passaggio chiave riguarda la disattivazione dei controlli di Google Play Protect, così da ridurre le difese integrate di Android e permettere l’installazione di moduli aggiuntivi senza consenso.

Tra le capacità attribuite agli operatori figurano esecuzione di comandi remoti, acquisizione dello schermo, mappatura della rete locale e apertura di reverse shell per ottenere una linea di comando a distanza. Queste funzioni trasformano un semplice TV box in un punto di ingresso potenziale per attacchi più ampi sulla rete domestica o aziendale.

L’uso criminale principale avrebbe incluso frodi pubblicitarie e servizi di proxy residenziali, cioè la rivendita della connessione internet della vittima per far apparire il traffico come proveniente da abitazioni reali. Sono stati osservati anche dispositivi non tradizionali come apparecchi per telemedicina, macchine per karaoke e digital signage. Le rilevazioni indicano una diffusione globale con picchi in alcuni paesi e decine di migliaia di casi anche in mercati occidentali.

Un aspetto critico è che la backdoor, essendo nel firmware, può reinstallarsi dopo un riavvio e resistere ai tentativi di pulizia. Per questo, in molti scenari la mitigazione richiede interventi del produttore, protezioni di piattaforma o la sostituzione del dispositivo. Per le organizzazioni, le buone pratiche includono identificazione dei dispositivi sospetti in rete, isolamento immediato, blocco di domini e indirizzi IP di controllo e segmentazione della rete per separare smart device e sistemi sensibili.