CyberTVLab
← Tutti gli articoli

Analisi · Di CYBERTVLAB ·

Il problema delle botnet nelle TV box: da BadBox a Kimwolf

Da tre anni, uno dei veicoli di distribuzione di malware più affidabili dell'elettronica di consumo è la TV box economica. Le campagne cambiano di continuo. Le condizioni di mercato che sfruttano, no.

Un modello che si ripete

Le campagne che seguono non sono un'unica famiglia di malware continua. Sono operazioni distinte — gruppi diversi, codice diverso, infrastrutture a volte sovrapposte — che sfruttano sempre le stesse condizioni: hardware Android di basso costo, catene di fornitura del firmware opache, percorsi di aggiornamento deboli o assenti e dispositivi che restano online, senza sorveglianza, per anni.

Le radici tecniche sono davvero profonde su un ramo della storia. I ricercatori di Kaspersky documentarono il trojan Triada nel 2016 e lo descrissero come uno dei trojan mobili più avanzati del suo tempo. Le backdoor basate su Triada diedero alla linea BadBox la sua capacità di durare; altre campagne arrivarono agli stessi dispositivi per altre strade. Kaspersky, che ha indagato su diverse di queste famiglie, afferma di aver confermato legami tra Triada, Vo1d e BADBOX — infrastruttura C2 condivisa e un attacco del 2022 in cui mod di WhatsApp contenevano sia Triada sia BADBOX, che i ricercatori descrivono come «un attacco congiunto degli operatori di BADBOX e Triada» — avvertendo però che tali connessioni non sono necessariamente transitive.

I capitoli per il grande pubblico arrivarono in fretta. Nel 2023, il team Satori di HUMAN Security ha rivelato BadBox: circa 74.000 dispositivi con una backdoor che i ricercatori descrissero come basata su Triada. Nel settembre 2024, Doctor Web ha segnalato Vo1d — una backdoor del tutto diversa — su quasi 1,3 milioni di TV box Android in 197 paesi, impiantata nella partizione di sistema, senza che il vettore di infezione sia mai stato stabilito.

Poi è arrivato BadBox 2.0. Rivelato a marzo 2025 da HUMAN Security insieme a Google, Trend Micro e la Shadowserver Foundation, infettava circa un milione di dispositivi al momento della divulgazione — soprattutto hardware di marchi sconosciuti e non certificato: TV box, tablet, proiettori e unità di infotainment per auto di aftermarket. La sua backdoor principale, BB2DOOR, è descritta come basata su Triada, e raggiungeva i dispositivi in tre modi: un componente preinstallato, codice scaricato da un server remoto al primo avvio e oltre 200 versioni trojanizzate di app popolari distribuite tramite store di terze parti. Tra i modelli citati nella ricerca figurano X96mini, MXQ9PRO, KM9PRO e TV98 — quattro voci di una lista di 56 modelli in appendice al rapporto. Quei nomi diranno qualcosa a chiunque abbia mai sfogliato un marketplace in cerca di una «smart TV box».

È stato osservato traffico da 222 paesi, e il sinkholing di Shadowserver ha mostrato che circa mezzo milione di dispositivi continuava a contattare i loro server. Google afferma di aver aggiornato Play Protect per bloccare le app con comportamento BadBox, e a luglio 2025 ha citato in giudizio gli operatori dell'operazione davanti al tribunale federale di New York — descrivendo oltre dieci milioni di dispositivi non certificati compromessi nel corso della campagna. Quella cifra e quella di HUMAN sono entrambe vere, e misurano cose diverse: poco più di un milione di dispositivi osservati alla divulgazione, a marzo 2025; oltre dieci milioni rivendicati cinque mesi dopo, sull'intera operazione. Nessuna delle due è un censimento preciso.

Un nome di modello in una lista di indicatori di una ricerca non prova che ogni unità venduta con quel nome sia colpita — revisioni hardware, versioni firmware e lotti della catena di fornitura differiscono. Verifica la versione esatta prima di trarre conclusioni su un dispositivo che possiedi.

E il modello non si è fermato. A dicembre 2025, XLab di QiAnXin ha segnalato Kimwolf, una botnet DDoS di circa 1,8 milioni di dispositivi Android — televisori, set-top box, tablet — con hardware dei marchi SuperBox e X96Q nella lista delle vittime, attribuendola, con alto grado di confidenza, al gruppo Aisuru — citando, tra le altre prove, un certificato di firma condiviso e un'infrastruttura riutilizzata. A febbraio 2026, lo studio Keenadu di Kaspersky ha mostrato lo stesso copione della catena di fornitura un livello più in basso: una backdoor incorporata nel firmware di dispositivi nuovi — tablet, in tutti i casi analizzati dai ricercatori — inclusa un'app di sistema per lo sblocco facciale che Kaspersky ha descritto come il primo trojan incontrato all'interno di un servizio di riconoscimento facciale. A maggio 2026, Kaspersky ha riassunto i risultati su diverse unità SuperBox esaminate alla fine del 2025: un firmware che all'avvio contattava server dell'app di messaggistica Tencent QQ e del servizio proxy «Grass» — di fatto affittando la connessione Internet del proprietario — e che veniva fornito con uno scanner di rete, un analizzatore di traffico e strumenti di dirottamento DNS pronti all'uso. Ad aprile 2026, quelle box erano ancora vendute apertamente sulle grandi piattaforme.

Quest'ultima distinzione conta, e vale per tutta la cronologia: le connessioni proxy sono state osservate dai ricercatori; le capacità di scansione e DDoS sono state valutate dal codice. «Capace di» e «osservato mentre fa» sono affermazioni diverse — e meritano entrambe di essere prese sul serio.

Perché le TV box

Niente di tutto questo è un caso. Una TV box è un ospite quasi ideale per questo tipo di malware:

  • L'economia premia le scorciatoie. Realizzare un dispositivo certificato — test di compatibilità, app Google con licenza, un percorso di aggiornamenti — costa denaro. È proprio tagliando questi costi che una box raggiunge un prezzo aggressivo. L'infezione avviene spesso da qualche parte nella catena di fornitura, e il marchio sulla box può non saperne nulla.
  • Sempre accese, raramente sorvegliate. Questi dispositivi restano connessi e in servizio per anni, molto dopo che qualcuno li avrebbe dovuti aggiornare — e pochi controllano mai cosa faccia una box di streaming.
  • Vivono nella rete domestica. Una box in salotto condivide il Wi-Fi con telefoni, portatili, NAS, telecamere e serrature intelligenti. Il malware lì non resta isolato lì.

A cosa serve davvero il malware

La frode è più banale — e più redditizia — di una presa di controllo spettacolare. La monetizzazione documentata include frode pubblicitaria programmatica (annunci e visualizzazioni web nascosti), frode sui clic, creazione di account falsi e una delle categorie in più rapida crescita: i proxy residenziali. Quest'ultima significa che un estraneo può affittare la tua connessione Internet e apparire online come te. Dall'esterno, il traffico dal tuo indirizzo IP può finire associato a frode, spam e abusi — e le conseguenze visibili (registrazioni bloccate, CAPTCHA infiniti, servizi che trattano la tua connessione come ostile) ricadono sulla tua famiglia, non sull'operatore.

I rischi a valle documentati in queste campagne includono la compromissione di account, l'intercettazione di OTP, la scansione della rete domestica e una manipolazione DNS che può reindirizzare silenziosamente le connessioni dei dispositivi.

Cosa aiuta davvero

  • Preferisci dispositivi certificati. La certificazione Play Protect è la linea di demarcazione più netta — spieghiamo come controllare la tua nella nostra guida di due minuti.
  • Non disattivare mai la protezione della piattaforma — Play Protect sui dispositivi Android TV e Google TV certificati, o i controlli integrati sulle altre piattaforme — e considera le istruzioni del tipo «disattiva X per completare l'installazione» un segnale d'allarme.
  • Segmenta la tua rete. Metti televisori, telecamere, altoparlanti e robot aspirapolvere su una rete Wi-Fi separata da telefoni, computer e NAS — e verifica che la separazione blocchi davvero l'accesso alla rete locale, perché una rete guest mal configurata dà un falso senso di sicurezza.
  • Tieni aggiornati firmware e router, e rimuovi ogni app che non hai installato tu — store aggiuntivi, «booster», «pulitori».

E se sospetti che la box stessa sia compromessa — extra preinstallati che non hai mai installato, traffico inspiegabile — disinstallare le app può non bastare: questo tipo di impianti vive nella partizione di sistema, e un ripristino di fabbrica può non rimuoverli. Scollegala dalla rete, smetti di usarla per account sensibili, controlla se il produttore pubblica un firmware pulito e firmato, e sostituisci il dispositivo se la catena di fiducia non può essere ripristinata. Un'app che gira sopra un firmware compromesso non può essere pienamente affidabile nel vedere o rimuovere ciò che sta sotto.

La buona notizia: è un problema ben documentato, con un insieme di difese identificabile. La parte scomoda è che le stesse condizioni di mercato hanno ormai prodotto una nuova operazione quasi ogni anno — e le box sono ancora sugli scaffali.

Fonti

Deltavant è un'app antimalware sul dispositivo per Android TV e Google TV, attualmente in test chiuso su Google Play. Scopri di più su Deltavant.