Botnet da 1,3 milioni di decoder Android: Google accusa il partner Videostrong

Google afferma che Videostrong Technology, produttore di Shenzhen e partner nello sviluppo di dispositivi Android, ha costruito di nascosto una backdoor, cioè un accesso segreto, in 1,3 milioni di dispositivi, trasformandoli in una botnet.¹ Una botnet è una rete di apparecchi infetti comandati a distanza, in questo caso da server di controllo. Google dice di aver chiuso la backdoor e di aver «interrotto i rapporti» con l’azienda, che non può più produrre o vendere dispositivi Android certificati né fornirne il software.¹²

Cosa è successo e a quali dispositivi si riferisce

La rete si chiama XCPE e, secondo Google, era composta soprattutto da decoder Android TV. Il malware era integrato in molti modelli e marchi diversi, venduti nell’arco di più anni.¹² Tra i dispositivi infetti ci sono anche apparecchi Android per la telemedicina, macchine per il karaoke e schermi per la cartellonistica digitale.¹ Per The Register, citato da t3n, i dispositivi colpiti sono in più di 200 paesi, Germania compresa. Infobae cita tra gli altri Spagna, Regno Unito, Stati Uniti, Russia, Brasile, Canada e Australia.³⁴ Secondo Google, Videostrong ha usato tecniche di offuscamento, cioè di mascheramento del codice, per caricare il malware dopo il primo avvio del dispositivo.¹ 01net riferisce che la backdoor, chiamata x.cpe, aveva i privilegi più alti del sistema e si reinstallava al riavvio anche se rimossa. L’acquirente, quindi, aveva poche possibilità di liberarsene.²

Come guadagnava Videostrong con la backdoor

Google sostiene che backdoor e botnet siano state sviluppate e gestite a scopo di lucro. Secondo l’azienda, Videostrong vendeva l’accesso ad affiliati criminali e caricava sui dispositivi i loro moduli malevoli.¹ Questi moduli servivano a frodi pubblicitarie, a inserire i dispositivi in reti proxy residenziali e a installare altro malware. Con un proxy residenziale il traffico dannoso passa dalla connessione di casa dell’ignaro proprietario, che così nasconde la sua origine.¹³ Google cita anche l’esfiltrazione di dati, cioè la sottrazione di informazioni dai dispositivi, e l’instradamento di traffico di rete non autorizzato. Il tutto avveniva senza che i proprietari lo sapessero.¹ TrendAI, società di sicurezza coinvolta, ha spiegato che l’agente malevolo si presentava come un normale client per la manutenzione remota. Gli aggiornamenti arrivavano da una pagina GitHub creata apposta.³

Come è stata smantellata la rete

Secondo 01net, pochi giorni prima dell’annuncio Google ha preso il controllo dei server che guidavano la rete. L’azienda ha agito insieme alla Polizia nazionale giapponese e a società di sicurezza, e l’indagine è del Google Threat Intelligence Group, il suo gruppo di analisi delle minacce.² Infobae elenca tra i partner Lumen, HUMAN Security, Plume, Synthient e TrendAI.⁴ Google ha anche interrotto i domini di comando e controllo usati dai moduli degli affiliati. Stima che questa mossa tagli l’accesso ad almeno altri 10 milioni di dispositivi compromessi, perché quegli affiliati distribuiscono i moduli anche con altri canali.¹ Dopo il caso, aggiunge Google, ha modificato il processo di verifica dei produttori di dispositivi.¹

Che cosa è confermato e che cosa no

Le accuse a Videostrong vengono da Google e le fonti consultate le riportano come tali. Gli articoli non contengono una risposta dell’azienda cinese.¹² Google esclude che si sia trattato dell’azione di un dipendente isolato o di un errore di sviluppo, e parla di un’operazione voluta dall’azienda.²⁴ t3n ricorda che nel 2025 Google, con Human Security e TrendAI, aveva smantellato la botnet BadBox 2.0, formata da oltre 10 milioni di decoder Android TV e altri dispositivi. Secondo il giornale la nuova rete potrebbe venire dallo stesso ambiente dei responsabili di quella, ma lo presenta come un’ipotesi.³

Cosa possono fare gli utenti

Google consiglia prudenza con le app che promettono un compenso in cambio della «banda inutilizzata» o della condivisione della connessione. Secondo l’azienda sono una via principale di crescita per le reti proxy illecite e possono creare vulnerabilità nella rete domestica.⁴

Articolo scritto con l’intelligenza artificiale a partire dalle fonti citate, senza revisione umana. Redazione automatica di Redazia.

Fonti

Footnotes

1. One of Google’s Android partners turned 1.3 million set-top boxes into a botnet, The Verge, 2026-11-02 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹

2. 1,3 million de boîtiers TV Android piratés : Google démantèle un botnet chinois, installé dès l’usine par un fabricant, 01net, 2026-11-03 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

3. 1,3 Millionen Settop-Boxen betroffen: Google-Partner verwandelte Android-TV-Geräte in Botnet, t3n, 2026-11-03 ↩ ↩² ↩³ ↩⁴

4. Google desmantela una botnet de 1,3 millones de decodificadores creada por un socio de Android, Infobae, 2026-11-03 ↩ ↩² ↩³ ↩⁴