XCPE: accessi venduti ai criminali attraverso box TV certificati

Oltre 1,3 milioni di box Android TV erano finiti nella botnet XCPE, una rete di dispositivi controllati a distanza e messi a disposizione di operatori criminali. Google e i suoi partner ne hanno interrotto l’infrastruttura. Molti box erano venduti con il marchio MECOOL: erano prodotti certificati da Google, con accesso alle sue app e ai suoi servizi.

L’indagine di Google attribuisce con alta confidenza l’operazione al produttore Videostrong. La porta d’accesso era nel firmware, il software di base del dispositivo. Dopo il primo avvio scaricava altri componenti con privilegi di sistema e disattivava Play Protect, la protezione che controlla le applicazioni: i moduli pericolosi arrivavano dopo i test di certificazione.

Quei componenti servivano a generare pubblicità fraudolenta e a usare le connessioni domestiche come proxy residenziali: il traffico di terzi passava dalla rete di chi aveva comprato il box e appariva provenire da una normale abitazione. Google ha osservato anche comandi remoti e acquisizioni dello schermo. Secondo l’indagine, Videostrong vendeva ad affiliati l’accesso ai dispositivi.

Google ha agito contro i domini e i server dell’operazione, escluso Videostrong e le sue future affiliate dalla produzione di dispositivi certificati e modificato i controlli. Il blocco dell’infrastruttura interrompe gli accessi attraverso quella rete, ma non rimuove da solo i componenti installati nei box, alcuni dei quali possono reinstallarsi al riavvio.