Smantellata XCPE, backdoor nel firmware di 1,3 milioni di set-top box
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
Il 2 novembre 2026 Google e partner hanno neutralizzato XCPE, backdoor preinstallata che Google attribuisce con alta confidenza a Videostrong Technology e che ha enrolato oltre 1,3 milioni di dispositivi.
Il 2 novembre 2026 Google Threat Intelligence Group ha annunciato di aver smantellato XCPE, una backdoor preinstallata che ha enrolato più di 1,3 milioni di set-top box Android, attribuendola con alta confidenza a Videostrong Technology, produttore OEM e ODM di Android1.
Il codice malevolo stava nella partizione firmware, con privilegi android.uid.system. La persistenza partiva da uno stub in system, visto come x.cpe in alcune build e com.oemservice in altre. A ogni avvio lo stub controllava la directory /oem/, installava il pacchetto corrispondente in /data/app/ e lo ripristinava dopo una disinstallazione manuale. Per questo la rimozione dall’interfaccia del dispositivo era inaffidabile1.
L’esecuzione passava a un loader. La backdoor teneva il canale di comando e delegava i moduli a com.abc.nexus, che includeva utility native anti-analisi e configurava la monetizzazione. Da agosto 2026 gli operatori hanno iniziato a sostituire com.abc.nexus con dropper mirati, ognuno per un solo modulo, ma con lo stesso canale di comando1.
Il controllo remoto seguiva due fasi. La prima, un HTTP POST con un payload JSON cifrato AES che inviava telemetria hardware, numero di serie, MAC, modello e versione firmware, verso un host operatore con nome derivato dalla versione e dal tipo di Android del dispositivo. La risposta forniva i dettagli dell’MQTT broker, il token di autenticazione e la struttura dei topic: /device/{model}/{chipId}/{action}. Da quel punto la connessione restava aperta, tramite una sessione MQTT persistente che veicolava installazioni di app, comandi di shell, catture schermo e ricognizione di rete. Lo stesso bootstrap restituiva parametri di geolocalizzazione e STUN, l’URL di upload per log e dump diagnostici, e interruttori per singoli moduli pubblicitari1.
I moduli arrivavano in tre forme: daemon ELF nativi, SDK integrati nel bytecode del loader, oppure APK secondari scaricati in remoto. Google rileva che una quota significativa dei file di staging, inclusi moduli, script di shell e applicazioni legittime, veniva pubblicata come release su pagine GitHub controllate dagli operatori1.
Affiliati compravano spazio sui dispositivi e caricavano i propri modelli di business: exit node per proxy residenziali come Linkfog, AppSalt e NetNut, motori di frode pubblicitaria come CBOXTV e HiddenView, oltre ad altre backdoor1.
L’intervento ha tagliato i domini di controllo e messo offline server usati da più di una dozzina di famiglie malware affiliate. Google valuta che il taglio interrompa l’accesso ad almeno altri 10 milioni di dispositivi compromessi connessi alla stessa infrastruttura. Ha anche interrotto i rapporti con Videostrong e bloccato la produzione di dispositivi con app Google preinstallate. Il vendor è stato escluso dai dispositivi Android certificati1.
Google descrive come il codice sia passato tra le maglie della certificazione: dispositivi certificati che superano test di compatibilità e sicurezza, vendor che usa offuscamento e carica codice malevolo dopo il primo avvio. Google riferisce di avere aggiornato i processi di revisione. La certificazione copre lo stato testato, non il codice che si attiva dopo il primo boot1.
La rilevazione efficace guarda all’uscita di rete. Cercare sessioni MQTT di lunga durata da dispositivi che non dovrebbero mantenerle, e download da repository controllati dall’operatore, aiuta a scovare l’infezione. In negozio o in ufficio, una TV box non inventariata diventa un problema di inventario: il firmware spedito in fabbrica non si patcha da remoto1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Rilettura. Un passaggio toglie i tic della prosa generata da un modello, come i contrasti costruiti e le frasi che annunciano invece di informare, senza toccare fatti e fonti.
- Fedeltà alle fonti. Un passaggio dedicato toglie ogni affermazione che le fonti non sostengono. Valutazione su questo pezzo: 9/10.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale: superato.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica. Questo articolo ha preso 8,3/10.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.