Google desmantela una botnet de 1,3 millones de cajas de TV infectadas desde fábrica

Google y sus socios han desmantelado XCPE, una botnet de más de 1,3 millones de cajas Android TV, y han vetado al fabricante chino que, según Google, la construyó. El malware no llegó a través de una mala aplicación ni de un hackeo: venía grabado en el firmware desde la fábrica. El Threat Intelligence Group de Google (GTIG) afirma «con un alto grado de confianza» que la puerta trasera fue «desarrollada, desplegada y operada intencionadamente con fines lucrativos» por Videostrong Technology, un fabricante que produce cajas para muchas marcas. El informe se publicó el 2 de noviembre.

Una puerta trasera de fábrica

Los componentes principales, x.cpe y com.oemservice, funcionan con privilegios de sistema de Android. A través de ellos, los operadores podían instalar aplicaciones en silencio, desactivar Google Play Protect, ejecutar comandos, hacer capturas de pantalla, simular pulsaciones de teclas y recopilar datos de cuentas y del dispositivo. Si se elimina el malware, se reinstala desde la partición /oem/ al reiniciar, así que restablecer los ajustes de fábrica no sirve. Según Google, el código se integró en «muchos modelos y marcas diferentes durante varios años» y se trata de un negocio deliberado, no de «un empleado desleal aislado ni de un descuido de desarrollo».

La empresa de seguridad Synthient, uno de los socios, compró a finales de 2025 una caja MECOOL KM9PRO Max y encontró el malware ya instalado, informa BleepingComputer. En un servidor abierto de la botnet halló además documentos del director de I+D de Videostrong, y las puertas traseras estaban firmadas con direcciones de correo de la empresa. La mayoría de los dispositivos infectados son cajas de TV, pero Google también encontró la puerta trasera en aparatos de telemedicina, máquinas de karaoke y pantallas de señalización digital. La botnet está repartida por todo el mundo y Google no ha publicado un desglose por países.

Cómo las cajas generaban dinero para otros

Según Google, Videostrong vendía el acceso a la puerta trasera a «afiliados» criminales y cargaba sus módulos en las cajas. Algunos convertían los dispositivos en nodos de salida de redes de proxies residenciales: el tráfico de desconocidos salía por la conexión doméstica y la dirección IP del propietario. Google cita entre los servicios de proxy implicados a Linkfog, AppSalt/Honeygain, GaGaNode, NetNut y Traffmonetizer, entre otros. Un SDK, escribe Google, marcaba por sí mismo la casilla de consentimiento «sin mostrar ninguna interfaz». Otros módulos cometían fraude publicitario cargando páginas ocultas y registrando impresiones falsas, y algunos instalaban otras puertas traseras que Google ya había vinculado a la operación BadBox.

Para el propietario no se trata solo de una caja lenta. Su dirección IP aparece en tráfico que nunca envió, lo que puede traerle captchas, cuentas bloqueadas y sospechas por actividades con las que no tiene nada que ver.

Qué ha hecho Google

Junto con la Agencia Nacional de Policía de Japón y las empresas Lumen, HUMAN Security, Plume, Synthient y TrendAI, Google emprendió acciones legales para tumbar los dominios y servidores con los que se controlaba XCPE. También fue a por los servidores de mando de más de una docena de familias de malware cargadas a través de la puerta trasera, lo que corta al menos otros 10 millones de dispositivos infectados. Google ha roto con Videostrong y le ha prohibido, a ella y a cualquier futura filial, fabricar dispositivos Android certificados o suministrar software a fabricantes certificados. La compañía reconoce que Videostrong usó ofuscación para burlar las pruebas de certificación y cargar el código malicioso tras el primer arranque, y dice que ha cambiado su proceso de revisión.

Cómo protegerse

• Compra cajas de TV solo de marcas que estén en la lista de socios certificados de Android TV de Google. Las cajas baratas sin marca de los marketplaces son las de mayor riesgo. Como muestra este caso, la certificación no es una garantía total, pero sigue siendo el mejor filtro disponible.
• Si tienes una MECOOL KM9PRO Max u otra caja sospechosa, restablecerla no servirá: el malware vuelve desde la partición del sistema. Desconéctala de internet ya y planea sustituirla por un modelo certificado: una caja que no se puede limpiar no es segura.
• Mantén activado Google Play Protect e instala aplicaciones solo desde tiendas de confianza.
• Evita las aplicaciones que pagan por tu «ancho de banda sin usar» o por «compartir tu internet». Así es exactamente como los proxies residenciales reclutan dispositivos.
• Revisa en el router la lista de dispositivos conectados y las estadísticas de tráfico. Una caja que envía muchos datos con la tele apagada es una señal de alarma. Nuestra guía explica cómo comprobar si una caja de TV trabaja para otros.

No es el primer caso de este tipo. En verano contamos el de 120.000 cajas Android TV que alquilaban la conexión doméstica de sus dueños y el desmantelamiento de la botnet de proxies NetNut. XCPE es mayor, y esta vez Google señala al propio fabricante.