Google desmantela botnet XCPE: 1,3 millones de dispositivos Android TV comprometidos por fabricante china
Google anunció este lunes (3 de noviembre) el desmantelamiento de la botnet XCPE, una infraestructura maliciosa que operaba en más de 1,3 millones de dispositivos Android TV, predominantemente set-top boxes fabricados por la empresa china Videostrong Technology Co. El caso es significativo por revelar un modelo de negocio raro en el ciberdelito: en lugar de explotar vulnerabilidades de terceros, el propio fabricante instaló una puerta trasera en el firmware durante la producción y la operó como servicio para cibercriminales.
Una cadena de suministro de fabricación weaponizada
A diferencia de la mayoría de las botnets que infectan dispositivos a través de fallos de software o ingeniería social con usuarios, la XCPE nació infectada. Según el informe del Grupo de Inteligencia contra Amenazas de Google (GTIG), Videostrong desarrolló intencionalmente una puerta trasera persistente que residía en la partición `/oem/` del firmware del dispositivo, un área de almacenamiento reservada para el sistema operativo y accesible incluso después de que el usuario reinstalara el sistema.
La arquitectura del malware era modular y de tres capas: la puerta trasera primaria responsable de la comunicación con los servidores de comandos y control (C2), un mecanismo de carga que ejecutaba módulos adicionales, y un sistema de monetización que permitía a terceros — los "afiliados criminales" — monetizar los dispositivos comprometidos.
Videostrong no solo instaló la puerta trasera, sino que también vendió acceso al sistema de control a operadores externos. Esta dinámica de "infraestructura como servicio" convierte la propia cadena de fabricación en un vector de ataque, un patrón que los expertos llaman "badbox" — dispositivos vendidos legalmente que entregan simultáneamente funcionalidad legítima y capacidad de control remoto.
Cómo operaba la XCPE
Los dispositivos infectados con XCPE no se comportaban de manera visiblemente diferente de los normales. El malware usaba un corredor MQTT (protocolo ligero de comunicación máquina-a-máquina) alojado en subdominios de `anyevonline[.]com`, con comunicación secundaria a través de `mqtt.szbboys[.]com`. Esta elección fue estratégica: el MQTT es ampliamente utilizado en dispositivos IoT legítimos, haciendo que el tráfico de control remoto sea indistinguible de las comunicaciones normales de dispositivos conectados.
Una vez controlados, los dispositivos podían:
- Descargar e instalar silenciosamente nuevas aplicaciones Android; - Desactivar Google Play Protect; - Ejecutar comandos del shell con privilegios del sistema; - Capturar capturas de pantalla e inyectar digitación; - Recopilar información de cuentas, detalles del dispositivo y registros del sistema; - Realizar reconocimiento de red y establecer shells inversos; - Actuar como proxies residenciales para tráfico malicioso.
La botnet se extendió por más de 170 países, con concentraciones significativas en Malasia, Brasil, Irak, México y Taiwán — mercados donde los set-top boxes Android de bajo costo son particularmente populares.
Evolución y evasión
A lo largo de dos años, Videostrong evolucionó continuamente la arquitectura del malware para eludir las verificaciones de seguridad de Google. En lugar de intentar engañar las pruebas de compatibilidad del Android (que los fabricantes deben pasar para obtener la certificación Google), la empresa utilizó técnicas de ofuscación para explotar una brecha en las pruebas: cargaba el código malicioso después del primer inicio del dispositivo, cuando las pruebas de validación ya se habían completado.
Desde finales de 2024, Videostrong comenzó a usar un cargador separado llamado `com.abc.nexus`, que ejecutaba los módulos maliciosos mientras XCPE se concentraba exclusivamente en la comunicación con el C2. A partir de agosto de 2026, los operadores migraron a droppers aún más pequeños, disfrazados como aplicaciones del sistema Android, haciendo la detección cada vez más difícil.
La respuesta de Google
La operación de desmantelamiento contó con la Agencia Nacional de Policía de Japón, Lumen Technologies, Human Security, Plume, Synthient y TrendAI. Las medidas incluyeron:
- Acción legal para derribar los dominios y servidores de comandos y control; - Prohibición permanente de Videostrong y sus filiales de la certificación Android; - Modificación del proceso de revisión de certificación para detectar actividades similares (sin detalles públicos, para no ayudar a futuros evasores); - Derribamiento de los dominios de C2 utilizados por más de una docena de otras familias de malware que usaban la puerta trasera XCPE como vehículo — cortando acceso a al menos 10 millones de dispositivos adicionales de diversos fabricantes.
Google no eliminó el malware de los dispositivos ya infectados. Si un usuario intenta removerlo, se reinstala automáticamente desde la partición `/oem/`. La única solución es instalar firmware limpio o desconectar el dispositivo de internet.
El mercado resiliente detrás de la botnet
La advertencia más importante del informe de Google no es sobre Videostrong, sino sobre el mercado que sostiene operaciones como la XCPE. El GTIG identificó con precisión la naturaleza sistémica del negocio detrás de ella:
> "Creemos que nuestras acciones impactaron seriamente a más de una docena de actores maliciosos", escribió Google. "Pero el mercado subyacente de puertas traseras, fraude de anuncios y proxies residenciales es resiliente. Los operadores de puertas traseras, las bandas de fraude de anuncios y los proveedores de proxies residenciales operan como una cadena de suministro interconectada — cuando un componente se interrumpe, los operadores rápidamente migran a nuevos cargadores o SDKs de monetización rivales."
Esta es la lección central. La XCPE no fue un ataque aislado de un actor sofisticado; fue un negocio legítimo en el sentido de que tenía cadenas de suministro, clientes e ingresos recurrentes. Videostrong vendía acceso a criminales, así como empresas legítimas venden hardware. La diferencia es que el producto era la capacidad de controlar remotamente un millón de dispositivos.
¿Qué sucede cuando la regulación de seguridad de dispositivos IoT se vuelve tan estricta que los fabricantes comienzan a eludirla no por negligencia, sino por decisión deliberada? La XCPE muestra exactamente ese escenario: la fabricabilidad del ataque no es un accidente de seguridad, es el propio modelo. Y mientras el mercado de puertas traseras como servicio siga siendo rentable — lo que Google confirmó al señalar 10 millones de dispositivos adicionales explotados por otras familias de malware a través de la misma infraestructura —, la XCPE será la primera de una larga serie de botnets fabricadas en la fuente.
Fuentes: Google Cloud Blog, BleepingComputer, CyberScoop, SecurityWeek
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
