Il ban di Google a Videostrong dimostra che il bollino "certificato" non basta

La lezione facile della più grande storia di botnet su Android TV dell'anno è «non comprare box sospette». È un buon consiglio. Ma non racconta tutta la storia e assolve chi avrebbe dovuto accorgersene.

Ecco cos'è successo. Come riporta BGR, Google ha interrotto i rapporti con Videostrong Technology, produttore con sede in Cina, dopo che più di 1,3 milioni delle sue box Android TV sono risultate infette da una backdoor chiamata XCPE. Il Threat Intelligence Group di Google si dice molto sicuro che Videostrong abbia creato la backdoor e l'abbia installata di proposito, vendendo poi l'accesso a gruppi criminali. Google e diverse società di sicurezza hanno smantellato la botnet la settimana scorsa.

I dettagli sono brutti. Il malware era nel firmware, girava con privilegi di sistema e, secondo Google, veniva usato per cose come la frode pubblicitaria e le reti di proxy residenziali. In alcuni casi gli operatori facevano perfino screenshot in tempo reale e prelevavano informazioni sugli account. Il Brasile è tra i paesi più colpiti; O Globo lo indica nel titolo come il secondo più colpito, anche se box infette sono comparse pure negli Stati Uniti.

Il bollino di certificazione doveva impedire proprio questo

Il dettaglio che dovrebbe preoccupare tutti è che Videostrong non era un produttore di cloni che spunta e sparisce. Era un partner Android certificato. Google impone a questi produttori di sottoporre i dispositivi a test di compatibilità e sicurezza prima di poterli vendere con le app di Google. Secondo BGR, Videostrong ha nascosto il codice perché i test non lo individuassero, caricandolo solo dopo il primo avvio.

Quindi la storia ordinata, «certificato è sicuro, non certificato è una trappola», non regge davanti ai fatti. La nostra opinione: la certificazione resta la scommessa migliore, perché almeno ti dà un responsabile e un'azienda in grado di staccare la spina, come Google ha appena fatto. Ma è un filtro, non una garanzia. Un test che si supera il giorno zero e si può aggirare aspettando il secondo avvio è un test scritto per produttori onesti.

A suo merito, Google dice di aver aggiornato il processo di verifica in modo che altri non possano far passare malware attraverso i test allo stesso modo. È la mossa giusta. Ma è anche un'ammissione: il vecchio processo aveva una falla, e c'è voluto più di un milione di dispositivi per trovarla.

Le box economiche sono il punto in cui gli incentivi si storcono

Niente di tutto questo rende l'hardware economico una scelta sicura. Lo rende una scelta peggiore. Quando una box si vende a pochissimo, il margine deve arrivare da qualche parte, e Videostrong l'ha trovato: affittare i dispositivi dei clienti e le loro connessioni internet domestiche. Synthient, una delle società di sicurezza coinvolte, dice di aver comprato una Mecool KM9PRO Max alla fine del 2025 e di aver trovato la backdoor già presente. Aggiunge che box come queste sono popolari tra chi vuole installare app di terze parti per aggirare il DRM.

È un punto che sottolineeremmo, come opinione e non come fatto: chi cerca una box che faccia ciò che i dispositivi tradizionali non fanno è anche un acquirente che difficilmente guarderà la certificazione. Nessuno va biasimato per voler una box TV economica. Ma il prezzo che non vedi è che la tua rete, e forse i tuoi account, diventano parte degli affari di qualcun altro.

La pulizia è spiacevole. Google ha scoperto che XCPE può disattivare la verifica delle app di Play Protect e che, se rimuovi la backdoor, si reinstalla dal firmware al riavvio successivo. Il consiglio di Synthient è di scollegare i dispositivi dalla rete, cambiare la password del Wi-Fi e aggiornare il firmware del router. Secondo BGR, l'azienda stima che circa mezzo milione delle 1,3 milioni di box contatti ancora ogni giorno i server degli operatori. Synthient ha anche pubblicato un elenco di oltre 180 modelli di dispositivi legati alla campagna, anche se la presenza di un modello nell'elenco non conferma che una singola unità sia compromessa.

Cosa devono fare gli acquirenti e cosa deve loro Google

Per chi compra: se hai una box di marca sconosciuta, controlla se il tuo modello è nell'elenco di Synthient e, in caso affermativo, valuta di scollegarla. Quando acquisti, preferisci dispositivi di produttori con una reputazione vera da perdere e considera un prezzo insolitamente basso un campanello d'allarme, non un affare. E non interpretare «certificato Google» come «controllato per sempre».

Per Google: vietare a Videostrong di costruire dispositivi certificati o di fornire software ad altri produttori certificati è una risposta forte, e conta anche l'azione legale contro domini e server. Ma l'ordine degli eventi è rovesciato. Il ban è arrivato dopo il danno. Controlli sul comportamento dopo l'avvio, verifiche a campione sulle unità vendute e maggiore attenzione al firmware che mantiene accessi privilegiati dovrebbero essere la norma per un programma che permette a un'azienda di mettere il nome di Google sulla scatola.

Il nostro verdetto: restate su dispositivi certificati, ma smettete di considerare il certificato la fine della conversazione. Il caso Videostrong mostra che è nella catena di approvvigionamento che la fiducia si guadagna o si perde, e Google, che distribuisce il bollino, deve guardare lì prima di quanto abbia fatto stavolta.