Malware desde el firmware hacia arriba
La botnet XCPE operaba en más de 1,3 millones de TV boxes Android en más de 170 países. A diferencia del patrón observado en la mayoría de los ataques a dispositivos IoT, donde las vulnerabilidades de red o el malware instalado por el usuario son el vector principal, XCPE fue integrado directamente en la partición de firmware durante la fabricación, lo que lo hacía virtualmente imposible de eliminar para los usuarios. El componente principal, rastreado como `x.cpe` o `com.oemservice`, funcionaba con privilegios `android.uid.system` y se reinstalaba automáticamente desde la partición `/oem/` en cada reinicio si era desinstalado.
El Google Threat Intelligence Group (GTIG) atribuyó con alta confianza la creación y operación del backdoor a Videostrong Technology Co., una fabricante china de Shenzhen que opera como OEM y ODM para dispositivos Android. Lo que hizo este caso excepcional no fue la sofisticación técnica -- aunque la arquitectura modular del malware fue notable -- sino el hecho de que fue desarrollado y desplegado deliberadamente con fines financieros. Google declaró explícitamente que no "cree que esta campaña fue un insider rogue aislado o una falla de desarrollo."
Un modelo de negocio basado en hardware comprometido
Videostrong no operaba la botnet sola. La compañía vendía acceso al backdoor a afiliados criminales, que luego inyectaban sus propios módulos de malware en los dispositivos comprometidos. Este modelo en cascada convirtió cada TV box vendido al consumidor final en un punto de distribución para actividades ilícitas. Los módulos observados en la red XCPE incluían: software de proxy residencial (Linkfog, AppSalt, GaGaNode, NetNut, Traffmonetizer) que enrutaba el tráfico de terceros a través de las conexiones domésticas de los usuarios; motores de fraude publicitario (CBOXTV, HiddenView) generando impresiones y clics falsos en segundo plano; y backdoors adicionales (Moyu, Spirit, Bird) que permitían la instalación bajo demanda de más malware.
El sistema de comunicación utilizaba un protocolo de dos etapas: solicitudes HTTP iniciales para obtener configuración dinámica y datos de geolocalización, seguidas de conexiones MQTT persistentes para recibir comandos en tiempo real. A través del broker MQTT, los operadores podían instalar aplicaciones silenciosamente, ejecutar comandos de shell a nivel de sistema, capturar capturas de pantalla, inyectar pulsaciones de teclas, recopilar datos de cuentas y registros del sistema, y realizar reconocimiento de red. notablemente, el malware empleaba `libseccomp_guard.so`, una utility sofisticada de anti-análisis que impedía que los módulos maliciosos fueran detectados por sandboxes automáticas.
La escala del compromiso
Uno de los aspectos más impactantes del caso fue la estimación de Google: el desmantelamiento de los dominios de C2 de los afiliados cortaría el acceso a al menos 10 millones de dispositivos adicionales comprometidos por malware distribuido por otros canales. Esto significaba que XCPE funcionaba como una plataforma de distribución -- una especie de "malware-como-servicio" para dispositivos IoT. Google también desmanteló servidores utilizados por más de una docena de familias de malware que utilizaban el backdoor XCPE como canal secundario de comando y control.
Google tomó medidas concretas contra Videostrong: prohibió la compañía y sus futuras subsidiarias de fabricar dispositivos Android certificados y de suministrar software a proveedores certificados. La compañía también reconoció que Videostrong explotó una brecha en las pruebas de seguridad de Android cargando código malicioso después del primer arranque del dispositivo, eludiendo así las verificaciones de compatibilidad. Google dice que desde entonces ha implementado cambios en su proceso de revisión para evitar brechas similares en el futuro.
Los socios en la operación de desmantelamiento incluyeron a la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI. Synthient, en particular, realizó el rastreo forense que vinculó el backdoor a Videostrong, descubriendo un directorio públicamente accesible en el servidor `file.anyevonline[.]com` que contenía backdoors e incluso un PDF firmado por Owen Cao, director de I+D de Videostrong.
Qué significa esto para el ecosistema Android
El caso XCPE se enmarca en el mismo ecosistema que BadBox 2.0, otra botnet de TV boxes desmantelada en marzo de 2025 por Human, Google y TrendAI. Ambos casos comparten características: dispositivos IoT con conectividad permanente, actualizaciones raras o inexistentes, y consumidores que ignoran ampliamente qué se ejecuta en su hardware. La diferencia es que XCPE no solo infectó dispositivos -- fue fabricado como malware desde el inicio, como parte integral del producto.
Google publicó una lista de 182 modelos de dispositivos conocidos por formar parte de la botnet. Los propietarios de TV boxes MECOOL o de marcas white-label compradas a fabricantes desconocidos deberían consultarla. Sin embargo, existe una advertencia importante: aunque el malware ahora está inactivo, permanece instalado como app del sistema y no puede ser fácilmente eliminado por usuarios comunes, especialmente porque Play Protect permanece desactivado en los dispositivos comprometidos.
La pregunta no es si la próxima botnet de TV boxes surgirá -- solo es cuestión de tiempo -- sino si el modelo de certificación de dispositivos de Android, diseñado para garantizar compatibilidad y seguridad, está realmente preparado para detectar fabricantes que integren malware durante la fabricación en lugar de explotar vulnerabilidades después del hecho. XCPE no violó Android: fue construido para ejecutarse dentro de él, en su firmware, antes de que el usuario ni siquiera encienda el interruptor.
Fuentes: Google Threat Intelligence Group, BleepingComputer, CyberScoop
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
