Google desmantela botnet de 1,3 millones de cajas Android TV

El Google Threat Intelligence Group (GTIG) anunció esta semana el desmantelamiento de la botnet XCPE, una red de más de 1,3 millones de dispositivos Android TV comprometidos. A diferencia de las botnets tradicionales, donde los hackers explotan vulnerabilidades de seguridad en dispositivos legítimos, Google atribuye con alta confianza que el fabricante chino Videostrong Technology Co. instaló una backdoor directamente en el firmware de los dispositivos que fabricaba — y lo mantuvo funcionando como infraestructura criminal a largo plazo.

El caso es un ejemplo raro y perturbador de malware preinstalado en hardware de consumo: no se trata de una exploit explotada tras la venta, sino de un componente malicioso incrustado en la línea de producción, diseñado para generar ingresos recurrentes para sus operadores incluso después de que el dispositivo sea comprado por el consumidor.

La arquitectura del XCPE

Desde finales de 2024, la botnet XCPE evolucionó de un dropper simple a una arquitectura modular de tres etapas. El componente principal, rastreado como `x.cpe` y `com.oemservice`, ejecuta con privilegios de sistema en Android y sirve como comunicador de comando y control (C2). Transfiere la ejecución de módulos maliciosos a un cargador externo, `com.abc.nexus`, que a su vez emplea utilitarios sofisticados de anti-análisis para evadir la detección por sandboxes de seguridad.

El proceso de comando y control es particularmente refinado: primero, el malware realiza peticiones HTTP POST para obtener configuraciones dinámicas, datos de geolocalización y parámetros de servidor STUN. Luego, establece una conexión MQTT persistente en tiempo real para recibir instrucciones — desde instalación silenciosa de aplicaciones hasta ejecución de comandos shell y captura de pantalla — todo ejecutándose bajo UID del sistema.

La evolución más reciente del malware eliminó los módulos maliciosos del propio `x.cpe` y comenzó a usar paquetes separados disfrazados como aplicaciones del sistema Android — con nombres como `com.android.system.ntp` y `com.android.sso.auth.handler` — instalados directamente en `/system/priv-app/`, eludiendo las protecciones habituales de Android.

Monetización a gran escala

La botnet XCPE no fue construida para espionaje o ataque directo: fue diseñada para beneficio. Los módulos de monetización observados incluyen:

- Fraude de anuncios: aplicaciones maliciosas generaban clics e impresiones falsas, drenando presupuestos de anunciantes. - Proxy residencial: los dispositivos comprometidos se integraban a redes de proxy residencial a través del SDK GaGaNode, propiedad del operador IPCola. Cada dispositivo infectado se convertía en un nodo de red, permitiendo a criminosos enmascarar su tráfico malicioso detrás de direcciones IP residenciales legítimas. - Carga adicional de malware: XCPE funcionaba como plataforma para instalar otras backdoors, incluyendo las variantes Moyu, Spirit y Bird, que a su vez cargaban aún más módulos maliciosos.

El hallazgo más alarmante: Google evaluó que, al desactivar los dominios de comando y control del XCPE, la acción también cortó el acceso de al menos 10 millones de otros dispositivos comprometidos por los mismos afiliados criminales — lo que sugiere que XCPE era uno de los mayores distribuidores de malware para IoT de la era moderna.

Cómo el malware pasó las pruebas del Android

Google exige que los fabricantes superen un conjunto exhaustivo de pruebas de compatibilidad y seguridad para obtener la certificación Android con aplicaciones Google precargadas. Videostrong, sin embargo, empleó técnicas de ofuscación para explotar una brecha en las pruebas de Google: el código malicioso se cargaba tras el primer arranque del dispositivo, eludiendo las verificaciones iniciales. Esto significa que los dispositivos eran certificados como "seguros" y entregados a los consumidores antes de que el malware entrara en funcionamiento.

Google ya había tomado medidas contra botnets de hardware, incluida acción legal contra la campaña BadBox en 2024. La respuesta de Videostrong a la presión regulatoria parece haber sido simplemente refinar la arquitectura del malware en lugar de abandonar la práctica.

Respuesta e implicaciones

Google ha cortado lazos con Videostrong, revocado su licencia para fabricar dispositivos Android TV y prohibirá a la empresa y sus filiales futuras producir dispositivos Android certificados o suministrar software a otros fabricantes certificados. La acción fue realizada en colaboración con la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI.

Pero la pregunta más amplia permanece: ¿es Android TV lo suficientemente abierto para que fabricantes de bajo calibre inserten malware en la certificación? La respuesta de Google — alterar el proceso de revisión para garantizar la integridad del firmware tras el primer arranque — es necesaria pero insuficiente. El caso XCPE muestra que la seguridad de IoT va mucho más allá de los parches posteriores a la venta: debe construirse desde la fábrica, en los procesos de desarrollo y certificación.

Con 1,3 millones de dispositivos ya comprometidos y más de 10 millones potencialmente afectados por los mismos afiliados, XCPE es un recordatorio de que la frontera de la ciberseguridad no está solo en la nube o en los servidores — también está, cada vez más, dentro de la caja de streaming en tu sala.

Fuentes: Google Cloud Blog, Bleeping Computer, The Verge

✓ Fuentes independientes cruzadas y verificadas antes de la publicación