Google y un grupo de socios desmantelaron XCPE, una botnet de más de 1,3 millones de cajas Android TV que salieron infectadas de fábrica.
La investigación concluyó con alta confianza que el responsable no fue un atacante externo: Videostrong Technology, un fabricante con sede en Shenzhen, China, construyó el backdoor y vendió el acceso a criminales.
El backdoor sigue en los equipos y México y Brasil están entre los países con más dispositivos comprometidos.
Cómo funcionaba la botnet Android TV XCPE
El componente principal se llama x.cpe (en algunas compilaciones aparece como com.oemservice). Venía preinstalado en la partición de firmware con privilegios de sistema. Si el usuario intentaba borrarlo, se reinstalaba desde la partición /oem/ en el siguiente reinicio.
La arquitectura tenía tres capas: el backdoor, un cargador llamado com.abc.nexus y módulos de monetización.
El backdoor se comunicaba por MQTT con un servidor de control y podía instalar apps sin avisar, ejecutar comandos de shell, tomar capturas de pantalla y desactivar la verificación de Google Play Protect.
Videostrong usó ofuscación para cargar el código después del primer arranque y así superar los controles de certificación.
El negocio de alquilar tu conexión
El objetivo era financiero. Videostrong alquiló el acceso a afiliados criminales que cargaban sus propios módulos: fraude publicitario, robo de datos y redes de proxies residenciales. También convirtió los equipos en nodos de PCDN, una red que usa el ancho de banda doméstico para distribuir contenido.
El atractivo del proxy residencial es que la IP parece de una casa real. Ese tráfico pasa los filtros de reputación de bancos y tiendas. Si la caja estaba en una red de oficina, el atacante podía asomarse a la red interna.
El análisis de TrendAI contabilizó 3,8 millones de direcciones IP domésticas y móviles distintas entre junio y octubre, con un promedio de 182.000 disponibles por día y un pico de 366.562. También registró 2.360 millones de mensajes de control.
México y Brasil, en el top de países afectados
TrendAI observó dispositivos en más de 170 países y 206 modelos. Los cinco con más equipos fueron Malasia, Brasil, Irak, México y Taiwán. Estados Unidos, Alemania, Reino Unido, Australia y Canadá registraron entre 26.000 y 42.000 cada uno.
No todo eran cajas de TV: también aparecieron dispositivos de telesalud, máquinas de karaoke y pantallas de señalización digital. Google sitúa la operación en el mismo ecosistema que BADBOX 2.0, desmantelada en marzo de 2025.
Qué hizo Google y qué debes hacer con tu equipo
Google tomó acciones legales para tumbar los dominios y servidores de Videostrong, y los centros de control de más de una docena de familias de malware. La compañía estima que eso cortó el acceso a otros 10 millones de dispositivos comprometidos. Además, vetó a Videostrong y a cualquier futura filial para fabricar dispositivos Android certificados, y reforzó su proceso de revisión.
El problema no termina ahí. El backdoor sigue en el firmware y el usuario no puede eliminarlo. Desinstalar la app no sirve: el sistema la restaura.
Malwarebytes recomienda desconectar el equipo y pedir al vendedor un firmware limpio o un reemplazo. Si no hay respuesta clara, la opción segura es cambiar la caja.
La lección es incómoda: un dispositivo certificado puede llegar comprometido antes de que lo enciendas. Y cuando el atacante es el fabricante, no hay parche que el usuario pueda aplicar por su cuenta.
Más en: Ciberseguridad, Tecnología
