Più di 1,3 milioni di set-top box Android TV sono stati venduti con un malware che affittava in segreto la connessione internet degli utenti e svolgeva frodi pubblicitarie, ha dichiarato Google in un annuncio ripreso da KrebsOnSecurity il 3 novembre. Google e partner del settore hanno smantellato la botnet, denominata XCPE, con un'operazione che, prevedono, interromperà anche l'accesso ad almeno altri 10 milioni di dispositivi compromessi attraverso l'infrastruttura dei suoi affiliati.
La popolazione colpita non si limita all'hardware per lo streaming televisivo. GTIG ha trovato lo stesso malware in dispositivi per la telemedicina basati su Android, macchine per karaoke e sistemi di digital signage, anche se i box TV rappresentavano la maggior parte delle infezioni XCPE.
GTIG e altri esperti del settore hanno individuato nel produttore cinese di box TV Videostrong Technology Co. il responsabile dell'inclusione del malware. Google ha dichiarato di aver interrotto i rapporti con il produttore e di aver avviato un'azione legale per rimuovere domini e server usati per controllare la botnet e installare malware aggiuntivo.
Dal primo avvio a una connessione internet affittata
L'intrusione è partita dal fornitore dei dispositivi. Google richiede ai produttori Android di superare test di compatibilità e sicurezza, ma ha affermato che Videostrong ha trovato il modo di caricare software malevolo subito dopo il primo avvio del dispositivo da parte di un cliente. Google ha dichiarato di aver da allora risolto quella falla.
Il malware ha arruolato i dispositivi in XCPE, nome tratto da uno dei suoi componenti principali di codice. Ha poi caricato un software che rendeva l'indirizzo internet del proprietario disponibile per la rivendita tramite più servizi proxy residenziali. Questi servizi permettono ai clienti di far passare il traffico attraverso la connessione di un'altra persona, per nascondere il proprio indirizzo o apparire in un'altra località.
Per i proprietari coinvolti, la connessione diventava infrastruttura per il traffico di sconosciuti, senza che ne sapessero nulla né lo avessero autorizzato. KrebsOnSecurity ha documentato l'uso dei proxy residenziali per takeover di account, frodi pubblicitarie e scraping di contenuti su larga scala a supporto di progetti di intelligenza artificiale.
GTIG ha affermato che Videostrong vendeva l'accesso ad affiliati criminali e installava i loro moduli malware sui dispositivi infetti. In questo modo la backdoor del produttore è diventata un canale di distribuzione per più operatori, anziché un meccanismo di consegna per un solo servizio proxy.
Software proxy trovato sui box infetti
GTIG ha individuato diversi fornitori di proxy residenziali i cui kit di sviluppo software venivano scaricati regolarmente dai dispositivi infettati da XCPE. Tra questi figuravano AppSalt, noto anche come Honeygain; NetNut; EarnFM; Traffmonetizer; Jaguar; LINKFOG; BMW/IPWeb; e GaGaNode.
AppSalt/Honeygain appartiene a Oxylabs, con sede a Vilnius. Nell'ottobre 2026 Oxylabs ha lanciato di nuovo la propria attività con il marchio Source, dopo aver ricevuto 130 milioni di dollari dalla società di private equity Warburg Pincus, in un'operazione che, secondo quanto riferito, valuterebbe l'azienda 3,6 miliardi di dollari. Oxylabs non ha risposto alla richiesta di commento di KrebsOnSecurity.
NetNut è gestita dalla società israeliana quotata in borsa Alarum Technologies. Nel luglio 2026 l'FBI e partner del settore hanno sequestrato centinaia di domini associati, sostenendo che NetNut gestisse una botnet separata di proxy per TV box, chiamata Popa.
Synthient, una startup che monitora i proxy e citata nell'annuncio di Google, ha anche esaminato un box molto diffuso e già infetto, venduto con il marchio MECOOL dalla società cinese quotata in borsa Skyworth Technology. Il suo rapporto del 3 novembre conclude che MECOOL includeva il malware di Videostrong e installava AppSalt/Honeygain e altri componenti proxy.
Il fondatore di Synthient, Ben Brundage, ha dichiarato a KrebsOnSecurity che il malware di Videostrong distribuiva anche software per il servizio proxy Grass. Un rapporto di KrebsOnSecurity del novembre 2025 citava un ricercatore di Censys, che aveva trovato software proxy Grass incluso nei dispositivi di streaming Superbox; il fondatore di Grass ha negato un'affiliazione con quel produttore di box.
La promozione rivolta ai consumatori ha aiutato questi prodotti a raggiungere gli acquirenti. KrebsOnSecurity ha riportato in precedenza che Superbox e box simili attiravano clienti tramite TikTok e altri influencer dei social media, che promuovevano l'accesso a centinaia di servizi pay-TV pirata con un pagamento unico. Synthient ha affermato che la popolarità di MECOOL è cresciuta rapidamente dopo un'approvazione nel 2023 da parte del canale YouTube Linus Tech Tips, che conta quasi 17 milioni di iscritti.
Perché lo smantellamento potrebbe andare oltre XCPE
L'operazione segue lavori precedenti che hanno mostrato come l'infrastruttura dei proxy residenziali possa favorire infezioni all'interno delle reti dei clienti. Nel gennaio 2026 Synthient ha documentato la botnet Kimwolf, separata, che ha compromesso milioni di set-top box Android praticamente da un giorno all'altro, sfruttando una vulnerabilità diffusa nei servizi proxy residenziali. La vulnerabilità consentiva attacchi ad altri dispositivi Android presenti nelle reti locali dei proprietari dei box TV.
Kimwolf stava poi lanciando attacchi di denial of service distribuito (DDoS) eccezionalmente grandi in tutto il mondo. La ricerca di Synthient ha spinto decine di fornitori di proxy a correggere le proprie reti, frammentando la botnet e rendendo i suoi attacchi più facili da gestire per gli operatori di rete. In seguito la Motion Picture Association ha collaborato con Synthient per acquistare ed esaminare box TV Android diffusi, compresi dispositivi infettati da Kimwolf e da altre botnet IoT.
Per XCPE, la portata prevista dello smantellamento deriva sia dagli affiliati sia dalla backdoor del produttore. GTIG ha affermato che gli affiliati di Videostrong per i proxy e per la frode pubblicitaria distribuivano ciascuno i propri moduli attraverso canali diversi da XCPE; per questo stima che l'operazione dovrebbe interrompere l'accesso ad almeno altri 10 milioni di dispositivi compromessi. Brundage ha definito la cifra di 1,3 milioni di XCPE «molto prudente» e ha descritto l'operazione come probabilmente la più grande mai vista da Synthient contro box TV con backdoor.
