Il TV box collegato alla televisione può fare molto più che riprodurre film e serie. In alcuni modelli, secondo Google, il firmware nascondeva una porta d’accesso per installare software malevolo e controllare il dispositivo da remoto. La rete, chiamata XCPE, ha coinvolto oltre 1,3 milioni di set-top box in tutto il mondo.
Google e i suoi partner hanno annunciato di averne interrotto l’infrastruttura la scorsa settimana. L’indagine attribuisce con “elevata confidenza” la creazione e la gestione della backdoor a Videostrong Technology, produttore di dispositivi Android e fornitore di componenti software.
Che cosa faceva la botnet XCPE
Il software malevolo era incorporato nel firmware prima che i dispositivi arrivassero nelle case. Una volta connessi a Internet, i TV box potevano ricevere istruzioni da remoto e scaricare moduli sviluppati anche da altri gruppi criminali.
Tra le attività osservate da Google ci sono frodi pubblicitarie, installazione di altri malware e uso dei dispositivi come nodi proxy: in pratica, il traffico di terzi poteva transitare attraverso la connessione Internet della vittima. Gli operatori potevano inoltre eseguire comandi, raccogliere informazioni e acquisire schermate del dispositivo.
La backdoor era progettata per restare attiva: in alcune versioni, anche rimuoverla manualmente non bastava, perché poteva reinstallarsi dopo il riavvio. Google riferisce inoltre che alcune varianti cercavano di disattivare Google Play Protect.
Non si parla di 10 milioni di TV box XCPE
Nel report compare anche una cifra più ampia: Google stima che l’interruzione di alcuni domini di comando collegati agli affiliati abbia privato i criminali dell’accesso ad almeno altri 10 milioni di dispositivi compromessi. È una stima riferita a ulteriori dispositivi associati a diverse famiglie di malware, non ad altri 10 milioni di TV box infettati dalla botnet XCPE.
La maggior parte dei dispositivi XCPE individuati erano set-top box Android per la TV. Google ha osservato anche alcuni dispositivi Android di altro tipo, tra cui apparecchi per la telemedicina, macchine karaoke e display digitali.
Che cosa ha fatto Google e cosa può fare chi possiede un TV box
Google e i partner hanno agito sui domini e sui server usati per controllare la botnet e distribuire i moduli malevoli. Google ha inoltre interrotto i rapporti con Videostrong, escludendo l’azienda e le sue eventuali affiliate dalla produzione di dispositivi Android certificati e dalla fornitura di software ai produttori certificati. La società afferma anche di aver rafforzato i controlli sull’integrità del firmware.
Il report non offre un metodo semplice per verificare da soli se un singolo apparecchio sia stato coinvolto. XCPE era incorporato nel firmware e riguardava modelli e marchi diversi: il solo fatto che un TV box sia basato su Android non dimostra che sia infetto, così come una scansione delle app installate potrebbe non essere sufficiente a escludere una compromissione.
Se si possiede un set-top box di provenienza incerta, è prudente controllare marca e modello, cercare eventuali aggiornamenti firmware ufficiali e contattare il produttore o il venditore per informazioni. In assenza di aggiornamenti o di un supporto affidabile, scollegare il dispositivo dalla rete è la misura più cauta. La rimozione manuale di un’app sospetta, da sola, non garantisce di eliminare una backdoor integrata nel firmware.
