La botnet XCPE metió a más de 1,3 millones de cajas Android TV en una red delictiva sin que sus dueños instalaran nada extraño: la puerta trasera venía de fábrica. Google publicó este lunes el desmantelamiento de esa red y atribuyó la operación, con confianza alta, a Videostrong Technology Co., un fabricante de Shenzhen, China, que produce cajas de televisión con Android con su marca y para otras marcas.
El Grupo de Inteligencia de Amenazas de Google (GTIG, por sus siglas en inglés) sostiene que Videostrong desarrolló la puerta trasera a propósito, la operó durante años y vendió el acceso a socios delictivos. Esos socios cargaban sus propios módulos en los equipos: unos cometían fraude publicitario con anuncios falsos, otros convertían la conexión de cada casa en un proxy residencial, un servicio que revende el paso de tráfico ajeno como si saliera de un hogar común.
Venía de fábrica y borrarla no sirve
La pieza central se llama x.cpe y en algunas versiones aparece como com.oemservice. Vive en la partición del sistema del firmware, el programa base del equipo, con privilegios de sistema, el nivel más alto de Android. Google explica que, si el usuario la desinstala, la caja la reinstala sola desde la partición /oem/ en el siguiente reinicio. No es una aplicación descargada por error: forma parte del equipo tal como salió de la línea de producción.
Esa permanencia marca la diferencia con el malware común. Un antivirus puede limpiar una aplicación dañina; aquí el programa malicioso está firmado con la llave del fabricante y anclado al firmware. TrendAI, la unidad empresarial de Trend Micro, lo resume en su informe conjunto: la limpieza pide acción del vendedor, protección de la plataforma o reemplazo del dispositivo.
Qué podía hacer XCPE con la caja encendida
El primer paso de x.cpe era apagar la verificación de aplicaciones de Google Play Protect, la protección integrada de Android. Después abría una conexión persistente con los servidores de control por el protocolo MQTT, un canal ligero de mensajería entre máquinas, y quedaba esperando órdenes. Google observó a los operadores capturar pantallas en vivo, enviar pulsaciones de teclas, copiar datos de cuentas, información del equipo, la lista de aplicaciones instaladas y registros del sistema, ejecutar comandos con privilegios de sistema y abrir conexiones de control remoto hacia dentro de la caja.
La arquitectura era modular y cambió con el tiempo, dato que Google usa para descartar un error de producción. A finales de 2024 apareció un cargador aparte, com.abc.nexus, que ejecutaba los módulos de dinero mientras x.cpe hablaba con los servidores. Desde agosto de 2026 los operadores pasaron a instaladores más pequeños disfrazados de aplicaciones del sistema. Entre los módulos de proxy residencial citados aparecen Linkfog, AppSalt y NetNut; en fraude publicitario, CBOXTV y HiddenView.
México y Brasil aparecen entre los países con más equipos
TrendAI contó 1.472.554 dispositivos infectados en 206 modelos entre el 3 de junio y el 1 de octubre, y advierte que la cifra real es al menos esa. Malasia, Brasil, Irak, México y Taiwán concentraron los conteos más altos; Estados Unidos, Alemania, Reino Unido, Australia y Canadá registraron entre 26.000 y 42.000 equipos cada uno. La mayoría son cajas de televisión, pero la puerta trasera apareció además en equipos de telesalud, máquinas de karaoke y pantallas de señalización digital. El antecedente directo en este mismo archivo es la alerta del FBI sobre BADBOX 2.0 y los aparatos conectados del hogar, publicada en junio de 2025, cuando la red señalada operaba con equipos sin certificar.
El golpe de Google llegó por la vía legal a finales de octubre. La empresa tumbó los dominios y servidores que controlaban la botnet XCPE y también los dominios de control de más de una docena de familias de malware cargadas por esa puerta; con ese segundo corte calcula que los socios pierden acceso a al menos 10 millones de dispositivos comprometidos por otras rutas. En la operación participaron la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI. Google además vetó a Videostrong y a cualquier filial futura: no podrá fabricar ni vender aparatos Android certificados ni suministrar programas a otros fabricantes certificados, y perdió la licencia para precargar las aplicaciones y servicios de Google.
Synthient, firma que rastrea redes proxy y redes de bots, publicó los nombres de 182 modelos vistos en la campaña y compró una caja MECOOL KM9PRO Max que traía la puerta trasera preinstalada. Esa firma recomienda desconectar y desechar los equipos que coincidan con los indicadores publicados. Plume propone un restablecimiento completo de fábrica por los módulos extra que pudieron quedar instalados, aunque su guía no afirma que ese paso elimine x.cpe.
Google admitió además una falla propia: Videostrong ocultó el código con técnicas de ofuscación, aprovechó un hueco en las pruebas de compatibilidad y cargó el código malicioso después del primer arranque. La empresa cambió su proceso de revisión y reforzó los controles de integridad del firmware en aparatos Android TV certificados. Este lunes 2 de noviembre, el sitio de Videostrong todavía ofrecía productos descritos como «Google Certified Android TV Box» y «Google Certified Android TV Stick», mientras 1,3 millones de cajas ya vendidas conservan dentro una puerta trasera que sus dueños no pueden quitar.
Fuente: Google Cloud — Grupo de Inteligencia de Amenazas
Top comments (0)