Google ha annunciato lo smantellamento della botnet XCPE, che colpiva TV box Android economici usati per lo streaming. Secondo BleepingComputer, a differenza delle infezioni classiche in questo caso il malware non arrivava da un'app scaricata per errore: era integrato nel firmware già durante la produzione, con privilegi di sistema completi. Google attribuisce l'operazione, con alta confidenza, al produttore cinese Videostrong Technology, al quale ha revocato la licenza per installare app e servizi Google sui propri dispositivi.
Oltre un milione di dispositivi coinvolti
I TV box compromessi individuati sono più di 1,3 milioni. Chiudendo i server di comando e controllo della botnet sono stati bloccati anche altri dispositivi infettati con malware diversi, circa 10 milioni in totale secondo la stessa fonte, tra set-top box, apparecchi per il karaoke e dispositivi di telemedicina. Una volta acceso, il dispositivo contattava un server remoto per ricevere comandi: installare altre app, disattivare Google Play Protect, eseguire operazioni da riga di comando o raccogliere dati, il tutto all'insaputa di chi lo stava usando per guardare la televisione.
Perché è difficile liberarsene e cosa conviene fare
Il problema per chi possiede uno di questi apparecchi è che il malware si trova in una partizione del firmware e si reinstalla da solo anche dopo un ripristino normale. Non esiste quindi una pulizia semplice: serve un firmware ufficiale e verificato, oppure, in attesa di una soluzione definitiva, scollegare il dispositivo da internet per limitarne i danni. Vale come regola generale per chi è tentato da una TV box economica trovata online senza marchio riconoscibile: un prezzo molto più basso della media nasconde spesso costi nascosti, e in questo caso il costo è la sicurezza di tutta la rete domestica collegata a quell'apparecchio.