Secondo Google la backdoor l'ha inserita lo stesso produttore dei TV box, che ne vendeva l'accesso ai criminali
Questa volta nessuno è stato ingannato per installarlo. Il malware era già sul box quando è uscito dalla fabbrica. Il 2 novembre Google ha annunciato di aver bloccato XCPE, una backdoor presente in oltre 1,3 milioni di box di streaming Android TV, e ha indicato il responsabile con una franchezza insolita: Videostrong Technology, un produttore di Shenzhen che secondo Google ha «intenzionalmente sviluppato, distribuito e gestito» il malware a scopo di lucro.
La backdoor gira come app di sistema chiamate x.cpe e com.oemservice, con privilegi di sistema completi. I suoi gestori potevano installare app di nascosto, disattivare Google Play Protect, catturare schermate, digitare al posto dell'utente e aprire una shell remota. Soprattutto, però, la davano in affitto. Affiliati paganti usavano i box per frodi pubblicitarie e come proxy residenziali: in pratica il traffico internet di sconosciuti esce dalla vostra connessione di casa, con il vostro indirizzo IP. I ricercatori di Synthient l'hanno trovata preinstallata su un MECOOL KM9PRO Max acquistato a fine 2025 e hanno pubblicato un elenco di 182 nomi di modelli. TrendAI ha contato 1.472.554 dispositivi infetti su 206 modelli tra giugno e ottobre, con un numero compreso tra circa 26.000 e 42.000 per ciascuno di questi paesi: Stati Uniti, Germania, Regno Unito, Australia e Canada.
Google ha revocato a Videostrong la licenza per distribuire dispositivi Android certificati, e l'operazione ha tagliato fuori anche almeno altri 10 milioni di dispositivi infettati da malware collegati. Questo ferma l'attività in corso. Non ripulisce però il vostro box. La backdoor risiede in una parte protetta del firmware e si reinstalla se la rimuovete. Se avete un box MECOOL o un altro lettore di streaming senza marca, confrontatelo con l'elenco di Synthient. Scollegarlo da internet ferma gli abusi, e il consiglio di Synthient è di buttarlo. Un modello presente nell'elenco non è la prova di un'infezione, ma un box del genere costa meno dei problemi che può causare.
La scansione di rete di Tendvane elenca tutti i dispositivi della vostra rete domestica ed è il modo più rapido per trovare il box di streaming dimenticato dietro il televisore.