Principales puntos destacados
- Más de 1,3 millones de dispositivos infectados: la botnet XCPE afectó a TV boxes y otros equipos conectados, con registros de infección en 206 modelos.
- Una puerta trasera difícil de eliminar: el código malicioso operaba con privilegios de sistema, se reinstalaba tras reiniciar el dispositivo y desactivaba Google Play Protect.
- Fabricante vetado por Google: Videostrong quedó inhabilitada para fabricar dispositivos Android certificados, mientras la operación busca interrumpir otras redes criminales vinculadas a esta infraestructura.
Google anunció este lunes 2 de noviembre una ofensiva contra una de las mayores redes de dispositivos infectados identificadas recientemente.
La compañía lideró el desmantelamiento de XCPE, una botnet que comprometió más de 1,3 millones de dispositivos, principalmente TV boxes con Android TV, y acusó al fabricante chino Videostrong Technology de crear deliberadamente una puerta trasera para lucrarse con el acceso a los equipos.
La operación va más allá de interrumpir los servidores criminales. Google también rompió sus relaciones con el fabricante y le prohibió producir dispositivos con certificación Android, una medida que podría afectar a distintas marcas y categorías de equipos.
Una TV box que seguía infectada incluso después de intentar limpiarla 🦠
El caso llama la atención por un detalle: el problema no era simplemente una aplicación maliciosa instalada por el usuario. La puerta trasera, identificada como x.cpe, estaba incorporada al firmware de los dispositivos y contaba con privilegios elevados dentro del sistema operativo.
En la práctica, esto cambia considerablemente el escenario. Desinstalar una aplicación sospechosa no sería suficiente para eliminar la amenaza.
El código podía reinstalarse cuando se reiniciaba el aparato. También desactivaba Google Play Protect, el mecanismo de seguridad de Android encargado de analizar aplicaciones potencialmente peligrosas.
El problema estaba en la propia estructura del dispositivo. Para el usuario, una TV box aparentemente normal podía funcionar como puerta de entrada a actividades criminales sin mostrar señales evidentes.
🔎 Y el riesgo no se limitaba al fraude publicitario: según Google Threat Intelligence Group, se observó a operadores realizando capturas de pantalla en tiempo real, inyectando pulsaciones de teclado, robando datos de cuentas y abriendo shells inversas, que permiten establecer acceso remoto a un sistema.
Estas capacidades hacen que el caso sea especialmente grave. Un dispositivo comprado para ver vídeos puede terminar integrado en una infraestructura de acceso remoto controlada por terceros.
Cómo consiguió Google desmantelar la red
La operación incluyó una acción judicial para tomar el control de los dominios y servidores que Videostrong utilizaba para dirigir la botnet.
Google también actuó contra los servidores de comando y control de más de una decena de familias de malware distribuidas mediante la puerta trasera.
Esto es importante porque XCPE no funcionaba de forma aislada. Formaba parte de un ecosistema de distribución de amenazas digitales en el que distintos operadores podían aprovechar el acceso a los mismos dispositivos para ejecutar actividades diferentes.
💥 El impacto podría superar los 1,3 millones de dispositivos identificados: como los grupos relacionados también distribuyen malware por otros canales, Google espera que la operación interrumpa el acceso a al menos otros 10 millones de dispositivos infectados.
La compañía trabajó con la Agencia Nacional de Policía de Japón y organizaciones de seguridad como Lumen, HUMAN Security, Plume, Synthient y TrendAI.
Brasil está entre los países más afectados 📊
Las cifras presentadas por TrendAI ayudan a dimensionar el alcance de la amenaza.
Entre el 3 de junio y el 1 de octubre, la organización contabilizó 1.472.554 dispositivos infectados, distribuidos en 206 modelos.
Los países con mayor número de infecciones incluían:
- Malasia
- Brasil
- Irak
- México
- Taiwán
La presencia de Brasil en esta lista merece atención, especialmente porque las TV boxes son dispositivos populares para convertir televisores convencionales en equipos conectados a internet.
Las cifras de TrendAI y la estimación de más de 1,3 millones divulgada por Google son compatibles en términos de magnitud, aunque corresponden a datos atribuidos a las respectivas organizaciones.
📌 La amenaza también fue más allá de las TV boxes. Según la información divulgada, entre los dispositivos afectados había equipos de telesalud, máquinas de karaoke y sistemas de señalización digital.
Por tanto, no se trata únicamente de entretenimiento doméstico. Los equipos conectados de distintos sectores pueden quedar expuestos cuando comparten componentes, firmware o cadenas de suministro comprometidas.
Cómo ganaba dinero Videostrong con la puerta trasera 💰
Según Google, Videostrong habría utilizado el acceso a los dispositivos para cargar módulos de afiliados implicados en actividades delictivas.
Entre los usos identificados estaban:
- Fraude publicitario: utilización de los dispositivos para generar actividad publicitaria fraudulenta.
- Proxies residenciales: transformación de los equipos en puntos de salida de tráfico de internet, haciendo que las conexiones parecieran proceder de hogares.
- Distribución de malware: instalación de componentes adicionales para ampliar la capacidad operativa de las redes criminales.
Este modelo resulta especialmente interesante desde el punto de vista de la economía del ciberdelito. En lugar de depender exclusivamente de ataques individuales, una red de este tipo puede explotar miles de dispositivos que permanecen conectados a internet durante largos periodos.
La infraestructura comprometida pasa a funcionar como un recurso compartido por diferentes operadores.
Google describió una cadena interconectada de operadores de puertas traseras, grupos de fraude publicitario y proveedores de proxies. Derribar un solo servidor no necesariamente elimina a todos los implicados.
Qué llevó al castigo del fabricante
Google Threat Intelligence Group afirmó tener un alto grado de confianza en que Videostrong desarrolló y operó la puerta trasera y la botnet con fines lucrativos.
Según la investigación, la empresa habría ocultado el código para aprovechar una brecha en los procedimientos de certificación. El comportamiento malicioso solo se activaría después del primer arranque del dispositivo, lo que dificultaría su detección durante las pruebas.
Synthient también informó que encontró la puerta trasera preinstalada en una TV box de la marca MECOOL que había comprado para analizarla. La organización vinculó la marca con Videostrong e identificó un documento firmado por el director de investigación y desarrollo del fabricante en una carpeta abierta en el servidor de una botnet.
Google rompió sus relaciones comerciales con la empresa y extendió la prohibición de certificación a sus futuras filiales y empresas afiliadas. La medida también impide que estas entidades suministren software a otros fabricantes de dispositivos certificados.
La decisión no significa que todos los dispositivos Android TV o todas las marcas de TV boxes estén comprometidos. El riesgo identificado está relacionado con los equipos y las cadenas de suministro implicados en la investigación.
Los servidores han caído. ¿Y ahora qué? ⚠️
Este es el punto más preocupante para quienes ya tienen un dispositivo afectado en casa.
La interrupción de la infraestructura de comando y control no elimina automáticamente el código malicioso del firmware. Un dispositivo puede seguir conteniendo la puerta trasera aunque los servidores utilizados por los delincuentes ya no estén disponibles.
TrendAI afirmó que la limpieza depende de una acción del fabricante, de los mecanismos de protección de la plataforma o de la sustitución del dispositivo. Synthient, por su parte, recomendó a los consumidores desechar los equipos afectados.
Esto deja a los usuarios en una situación complicada: el aparato puede seguir funcionando con normalidad para reproducir vídeos, pero su integridad no está garantizada.
Qué deben hacer los propietarios
Si utilizas una TV box con Android, conviene tomar algunas precauciones:
- Identifica el fabricante y el modelo exactos. No des por hecho que todos los dispositivos están afectados, pero tampoco confíes únicamente en su apariencia o funcionamiento normal.
- Busca comunicados oficiales. Comprueba si el fabricante ha publicado información sobre el modelo y si existe una actualización de firmware fiable.
- No confíes únicamente en el restablecimiento de fábrica. Como la puerta trasera puede estar incorporada al firmware, restablecer el dispositivo podría no resolver el problema.
- Evita utilizar el equipo para actividades sensibles si existe una sospecha concreta de compromiso, especialmente para acceder a cuentas personales o introducir credenciales.
- Sustituye el dispositivo si se confirma el compromiso y no existe una solución fiable. En ese caso, conviene priorizar un equipo de procedencia conocida y con soporte de seguridad.
Desconectar de internet un dispositivo sospechoso puede reducir su capacidad para comunicarse con servidores externos, pero no elimina la infección.
¿Será suficiente la certificación de Android para evitar nuevos casos?
El episodio pone de manifiesto una dificultad estructural en la seguridad de los dispositivos conectados: la certificación realizada antes de la venta no garantiza, por sí sola, que el firmware permanezca íntegro durante toda la vida útil del producto.
Si el código malicioso solo se activa después del primer arranque, las pruebas previas a la comercialización pueden no detectar su comportamiento.
La respuesta también depende de mecanismos posteriores a la certificación, como las actualizaciones de seguridad, la supervisión de la cadena de suministro y la capacidad de corregir a distancia vulnerabilidades y componentes comprometidos.
El 2 de noviembre, el sitio web de Videostrong todavía anunciaba una TV box Android certificada por Google, según el informe divulgado. Esto no demuestra que se sigan certificando nuevos dispositivos después de la sanción, pero ilustra cómo la comunicación comercial y la situación de seguridad pueden no estar alineadas.
El desafío ahora es impedir que se reconstruya la infraestructura desmantelada e identificar cuántos dispositivos seguirán siendo vulnerables sin una actualización viable.
Para quienes utilizan una TV box, la pregunta deja de ser simplemente qué aplicación instalar para ver películas. Pasa a ser otra: ¿quién controla el software que venía instalado en el dispositivo?
