Google smantella X.CPE: 1,3 milioni di TV box vendute con malware nascosto

🛡️ Executive Summary

• Google e sei partner hanno colpito X.CPE, botnet presente in oltre 1,3 milioni di TV box distribuite in più di 200 Paesi.
• Il malware era incorporato nel firmware prima della vendita e sfruttava le connessioni domestiche per attività criminali.
• L’operazione ha interrotto infrastrutture di controllo, ma non certifica la bonifica di tutti i dispositivi compromessi.

Google ha partecipato allo smantellamento della botnet X.CPE, un’infrastruttura criminale nascosta nel firmware di oltre 1,3 milioni di set-top box distribuiti in più di 200 Paesi. I dispositivi raggiungevano le abitazioni già compromessi, senza che fosse necessario scaricare applicazioni malevole o aprire collegamenti sospetti. L’operazione, annunciata il 2 novembre 2026, ha coinvolto società di sicurezza, operatori di rete e la polizia giapponese, mettendo in evidenza un problema particolarmente grave per il mercato dell’elettronica di consumo: la compromissione può iniziare nella catena di produzione, prima ancora che l’acquirente accenda il dispositivo. L’obiettivo criminale non era soltanto controllare le TV box, ma trasformare le connessioni Internet domestiche in risorse da rivendere e utilizzare per attività fraudolente.

X.CPE era già nel firmware prima che le TV box arrivassero ai clienti

La caratteristica più importante dell’operazione X.CPE riguarda il momento della compromissione. Il malware non veniva necessariamente introdotto attraverso una vulnerabilità sfruttata dopo l’acquisto, ma risultava incorporato nel firmware dei dispositivi prima della distribuzione commerciale. Questa circostanza cambia il modello di rischio perché l’utente può utilizzare correttamente il prodotto, evitare installazioni da fonti sconosciute e mantenere comportamenti prudenti senza sapere che il sistema contiene già componenti ostili. Il comunicato originale dell’operazione congiunta identifica come partecipanti Google, Plume, TrendAI, Lumen, HUMAN Security, Synthient e la National Police Agency giapponese, ciascuno impegnato nelle attività di intelligence, identificazione dei dispositivi, analisi del traffico e interruzione dell’infrastruttura criminale. X.CPE era progettata anche per eludere i controlli effettuati prima della commercializzazione, mostrando quanto una verifica superficiale del funzionamento delle apparecchiature sia insufficiente per certificare l’integrità del software preinstallato. Un dispositivo poteva riprodurre regolarmente film e contenuti televisivi mentre eseguiva attività non autorizzate in background. Il fenomeno possiede precedenti precisi. Già nel 2023 erano stati identificati TV box Android venduti con malware preinstallato, fra cui dispositivi che comunicavano con server di comando e controllo per scaricare componenti dedicati alle frodi pubblicitarie. La differenza del caso X.CPE è l’intervento coordinato su scala internazionale contro un ecosistema criminale consolidato, anziché la semplice individuazione di alcuni apparecchi infetti.

Le connessioni domestiche venivano trasformate in proxy per attività illegali

Il modello economico degli operatori di X.CPE sfruttava principalmente una risorsa che gli utenti normalmente non associano alla propria TV: l’indirizzo IP residenziale e la banda Internet dell’abbonamento domestico. Il malware consentiva di instradare traffico di terzi attraverso dispositivi compromessi, creando una rete di proxy residenziali utilizzabile per nascondere l’origine effettiva delle connessioni. Le comunicazioni potevano quindi apparire provenienti da normali famiglie anziché dalle infrastrutture degli operatori criminali. È una risorsa preziosa per le frodi pubblicitarie, l’automazione abusiva e altre operazioni che cercano di aggirare i sistemi antifrode fondati sulla reputazione degli indirizzi IP. I ricercatori hanno individuato inoltre capacità di raccolta di informazioni sui dispositivi, sulle reti e sugli account, insieme alla possibilità di mantenere accessi remoti persistenti. L’infrastruttura veniva monetizzata anche attraverso la distribuzione di contenuti video, l’installazione di ulteriori backdoor e, nelle versioni precedenti, applicazioni distribuite attraverso meccanismi commerciali pay-per-install. Questo significa che la TV box compromessa diventava contemporaneamente vittima e componente operativo della frode. Il consumatore sosteneva i costi dell’apparecchio, della connessione e dell’elettricità, mentre un soggetto esterno utilizzava parte delle risorse senza autorizzazione. Non è necessario che il proprietario osservi rallentamenti evidenti: traffico malevolo e utilizzo legittimo possono coesistere, soprattutto quando il dispositivo rimane acceso per molte ore.

Google interrompe il controllo della botnet e interviene sui produttori

Il takedown non si è limitato al blocco di alcuni server. Le organizzazioni coinvolte hanno colpito anche i domini di comando e controllo utilizzati dai moduli malware distribuiti attraverso l’infrastruttura, cercando di interrompere la comunicazione fra dispositivi compromessi e operatori criminali. Secondo la valutazione comunicata da Google, l’intervento potrebbe interrompere l’accesso ad almeno altri 10 milioni di dispositivi compromessi attraverso canali che non dipendono esclusivamente da X.CPE. Quest’ultima cifra non deve essere sommata automaticamente agli 1,3 milioni di TV box: rappresenta una stima sull’impatto più ampio della disarticolazione delle infrastrutture condivise con altri programmi malevoli. Google ha inoltre dichiarato di aver modificato le procedure di revisione e di aver escluso il produttore OEM ritenuto responsabile, comprese le sue eventuali società collegate, dalla possibilità di realizzare nuovi dispositivi con applicazioni Google preinstallate. Il provvedimento riguarda la filiera produttiva e non soltanto il software criminale, perché una risposta efficace richiede di impedire che lo stesso meccanismo venga riproposto all’interno di nuovi prodotti. Non sono stati tuttavia identificati pubblicamente, nella comunicazione esaminata, tutti i modelli commerciali coinvolti. Sarebbe pertanto scorretto indicare qualsiasi TV box economica come certamente compromessa o affermare che i prodotti certificati siano automaticamente immuni a ogni attacco di supply chain.

Il problema non si risolve semplicemente aggiornando Android

Una botnet incorporata nel firmware pone questioni differenti da quelle di una normale applicazione malevola. Un aggiornamento software può rimuovere componenti compromessi soltanto quando il produttore distribuisce una versione affidabile e quando il dispositivo dispone di meccanismi sicuri per installarla. La stessa cronologia degli attacchi alle TV box dimostra che il problema è ricorrente: nel 2024 Android.Vo1d aveva infettato circa 1,3 milioni di dispositivi in 197 Paesi, sebbene si trattasse di una campagna distinta da X.CPE. La coincidenza approssimativa delle dimensioni non significa che le due botnet siano la stessa operazione o coinvolgano gli stessi dispositivi. Per gli utenti italiani il rischio è concreto nella misura in cui acquistano apparecchi di provenienza incerta, privi di supporto software verificabile o distribuiti attraverso catene commerciali che non garantiscono aggiornamenti e tracciabilità. Non esiste però, sulla base delle informazioni pubblicate, una stima specifica delle TV box X.CPE presenti in Italia. In assenza di un elenco ufficiale dei modelli coinvolti, le precauzioni sensate consistono nel verificare identità del produttore, aggiornamenti firmware, certificazione del dispositivo e traffico di rete anomalo, evitando di considerare il semplice ripristino delle impostazioni di fabbrica una bonifica certa. Se il componente malevolo è contenuto nell’immagine firmware originale, un reset potrebbe ripristinarlo insieme al sistema. L’operazione X.CPE dimostra dunque il limite di una sicurezza digitale concentrata esclusivamente sul comportamento degli utenti. Quando il malware entra nel dispositivo prima della vendita, la responsabilità si sposta verso produttori, integratori e distributori. Il takedown riduce la capacità operativa della rete criminale, ma la protezione strutturale dipende dalla possibilità di verificare ciò che viene installato nei dispositivi connessi e di intervenire sulle apparecchiature già distribuite. Una televisione che funziona normalmente non costituisce, da sola, alcuna prova che la sua connessione Internet non venga sfruttata da altri.