// SMARTWORLD — CYBERSECURITY
Il box Android TV certificato da Google che nascondeva un malware al suo interno
Se avete un box Android TV o Google TV di marca Mecool o di qualche brand meno noto, questa notizia vi riguarda direttamente. Google ha appena confermato di aver tagliato i ponti con un produttore certificato che, per anni, ha installato di fabbrica un malware sui propri dispositivi, vendendoli come prodotti ufficiali e sicuri.
Preferisci ascoltare il riassunto audio? Abbiamo scelto una voce realizzata con strumenti avanzati IA per rendere i nostri testi subito accessibili a tutti
La vicenda è più grave di quanto sembri. Non si tratta di un'app scaricata per sbaglio o di un aggiornamento infetto, ma di codice malevolo inserito dentro al firmware del dispositivo, già presente nel momento in cui lo accendete per la prima volta.
Il produttore in questione si chiama Videostrong e gestisce diversi brand collegati. Google ha annunciato di avergli revocato la certificazione, vietandogli di produrre o vendere dispositivi con le app Google preinstallate, e impedendogli anche di fornire software ad altri produttori certificati. Oltre a questo, Google ha intrapreso azioni legali per bloccare i domini e i server usati per controllare la rete di dispositivi infetti, chiamata botnet XCPE.
Come funzionava la truffa? I dispositivi Videostrong erano certificati da Google, il che per l'utente finale significa "questo prodotto è sicuro, ha superato i controlli". In realtà, il malware era nascosto così bene da superare i test di certificazione. Come spiega Google stessa, i responsabili "hanno impiegato tecniche di offuscamento per sfruttare una lacuna nei nostri test e caricare codice malevolo dopo il primo avvio del dispositivo". In pratica, durante i controlli il dispositivo si comportava in modo pulito, solo dopo l'attivazione scaricava il software dannoso.
Google è abbastanza esplicita nell'ammettere la propria responsabilità parziale: questi dispositivi erano venduti come certificati e quindi implicitamente sicuri, dunque quella promessa non è stata mantenuta. Per questo l'azienda sta aggiornando il proprio processo di revisione per impedire che la stessa tecnica funzioni di nuovo.
La buona notizia è che Google ha già abbattuto i server di controllo della botnet: senza quei server, i dispositivi infetti non possono più ricevere istruzioni né distribuire malware.
Secondo Google, questa operazione "taglia l'accesso ad almeno 10 milioni di dispositivi compromessi", un numero che rende l'idea della scala del problema. Il brand più coinvolto sarebbe appunto Mecool, già oggetto di voci su una possibile chiusura nelle ultime settimane.
Se avete un box di questo tipo, la situazione attuale è che il rischio immediato è rientrato grazie all'abbattimento dei server. Tuttavia, il dispositivo potrebbe ancora contenere codice malevolo inattivo, e la scelta più prudente rimane quella di valutare un'alternativa più affidabile, come un Google TV Streamer ufficiale o un Fire TV Stick 4K.
La vicenda solleva però una questione più ampia, già venuta fuori in precedenza. Il marchio "certificato" su un dispositivo Android non è una garanzia assoluta di sicurezza, specialmente quando chi produce ha accesso diretto al firmware e tutto l'interesse a nascondere ciò che ci mette dentro. Servirebbero ulteriori misure di protezione, che però al momento non sembrano ancora pronte ad entrare in azione.