Box Mecool, Google smantella una botnet da 1,3 milioni

Google ha smantellato Xcpe, una botnet che ha coinvolto oltre 1,3 milioni di dispositivi Android collegati ai televisori.

Per chi possiede un apparecchio sospetto, la prima precauzione è scollegarlo dalla rete principale e non usarlo per attività di lavoro da remoto. Synthient consiglia di controllare se l’indirizzo internet domestico è impiegato come proxy residenziale, modificare la password del Wi-Fi e aggiornare il router.

I consigli per i dispositivi sospetti

Il semplice ripristino alle impostazioni di fabbrica potrebbe non risolvere il problema: Plume lo suggerisce, ma non chiarisce se l’operazione elimini davvero la backdoor. Synthient invita invece a sostituire il dispositivo, mentre TrendAI ritiene necessario un intervento del produttore, una protezione a livello di piattaforma oppure la rimozione del box.

Tenere attivo Google Play Protect non offre una garanzia completa, perché il codice poteva disattivare proprio questo sistema di sicurezza. La backdoor, infatti, era integrata nel firmware e tornava operativa dopo il riavvio anche quando l’utente riusciva a cancellarla.

I Mecool venduti in Italia

Il rapporto di Google non indica Paesi europei, marchi o modelli specifici. Informazioni aggiuntive arrivano da Synthient, che ha individuato il codice già installato in un Mecool KM9PRO Max comprato alla fine del 2025. Tra i modelli comparsi nell’elenco di 182 apparecchi figurano anche KM9PRO Max, KM2 Plus e KT2, quest’ultimo dotato di sintonizzatore per il digitale terrestre e lanciato in Italia l’anno scorso.

La presenza di un modello nella lista non dimostra che ogni esemplare sia infetto. Synthient avverte che il nome commerciale, da solo, non consente di confermare la compromissione. I dispositivi Mecool sono stati comunque distribuiti anche in Italia, sebbene su Amazon risultino oggi molto meno presenti; non esistono però numeri pubblici sui casi nazionali.

La rete controllata da remoto

Secondo Google, Videostrong Technology, società di Shenzhen che produce apparecchi per conto terzi e li vende anche con il marchio Mecool, avrebbe realizzato e gestito la backdoor per ricavarne profitto. Il gruppo di sicurezza esclude l’errore isolato di un dipendente e parla di una «violazione inaccettabile della fiducia».

Il codice disponeva dei privilegi più elevati di Android. Gli operatori potevano installare applicazioni senza consenso, impartire comandi, acquisire schermate, raccogliere informazioni su account e programmi presenti e osservare la rete domestica. I moduli associati servivano inoltre a far transitare traffico di terzi attraverso gli indirizzi delle abitazioni, a generare pubblicità fraudolenta e a installare altri accessi abusivi.

Certificazione e blocco di Google

Videostrong possedeva la licenza per distribuire dispositivi Android certificati con le applicazioni Google preinstallate. L’accusa è che il codice sia stato nascosto durante i controlli di compatibilità e sicurezza, per essere attivato dopo il primo avvio del prodotto. Google ha riconosciuto una lacuna nel sistema di verifica e ha dichiarato di averlo modificato.

A fine ottobre, la polizia nazionale giapponese e cinque società di sicurezza, tra cui Plume, Synthient e TrendAI, hanno contribuito alla chiusura dei server di controllo. Google stima che il blocco di altri server legati a più di dodici minacce abbia impedito l’accesso ad almeno 10 milioni di apparecchi, tra decoder commerciali, macchine per il karaoke e dispositivi per la telemedicina. Questa cifra non comprende i dispositivi della botnet Xcpe.

TrendAI ha rilevato 1.472.554 apparecchi infetti distribuiti su 206 modelli tra giugno e ottobre. I dati riguardano soprattutto Malesia, Brasile, Iraq, Messico e Taiwan; Stati Uniti, Germania, Regno Unito, Australia e Canada hanno registrato tra 26mila e 42mila dispositivi ciascuno. L’Italia non compare tra i Paesi citati, ma l’assenza dal conteggio non esclude la presenza di casi.

La revoca della licenza impedisce a Videostrong e alle future società controllate o collegate di produrre apparecchi certificati o fornire software ai relativi costruttori. Il provvedimento, tuttavia, non interviene sui box già acquistati dagli utenti.