Google, junto a diversos socios del sector, ha desmantelado la botnet de malware XCPE, formada por más de 1,3 millones de televisores y cajas de streaming con Android TV. Según la compañía, el fabricante de estos equipos infectó intencionadamente los dispositivos para obtener beneficios mediante actividades delictivas en línea.
Google atribuye la botnet con un alto grado de confianza al fabricante chino Videostrong Technology Co., al que acusa de instalar deliberadamente una puerta trasera persistente en los dispositivos que producía y de vender acceso a afiliados criminales. Estos afiliados empleaban los equipos comprometidos para desplegar módulos maliciosos destinados al fraude publicitario, convertir los dispositivos en proxies residenciales e instalar malware adicional.
Como parte de la operación, Google afirma haber derribado los servidores de mando y control (C2) utilizados por más de una docena de familias de malware relacionadas, lo que ha cortado el acceso a al menos 10 millones de dispositivos comprometidos adicionales. Estos equipos fueron infectados por otras vías distintas de XCPE e incluyen decodificadores de venta minorista, máquinas de karaoke y hardware de telesalud; no todos son dispositivos Android.
Google también ha puesto fin a su relación con Videostrong, le ha revocado la licencia para fabricar dispositivos Android TV con aplicaciones y servicios de Google preinstalados y ha prohibido a la empresa y a sus futuros afiliados producir dispositivos Android certificados o suministrar software a proveedores certificados.
«Evaluamos con alta confianza que la puerta trasera y la botnet fueron desarrolladas, desplegadas y operadas intencionadamente con fines económicos por Videostrong Technology Co.», señaló el Grupo de Inteligencia de Amenazas de Google (GTIG) en un informe publicado el lunes.
Según Google, en la operación participaron la Agencia Nacional de Policía de Japón y las empresas de seguridad Lumen, HUMAN Security, Plume, Synthient y TrendAI, que coordinaron el análisis de la infraestructura maliciosa y su desarticulación.
La botnet XCPE
A diferencia de otras botnets que suelen comprometer dispositivos mediante vulnerabilidades o engañando a los usuarios para que instalen malware, XCPE estaba integrada directamente en el firmware de los equipos durante su fabricación. Google señala que Videostrong llevaba años desarrollando y distribuyendo el malware en múltiples marcas y modelos, perfeccionando sus capacidades para evadir la detección y dar servicio a distintos afiliados criminales.
«Encontramos este software malicioso integrado directamente en muchos modelos y marcas de dispositivos distintos a lo largo de varios años, respaldado por una infraestructura dedicada y configuraciones en constante evolución para evadir la detección y gestionar a sus afiliados», explica Google.
El componente principal de la puerta trasera, rastreado como x.cpe y com.oemservice, se ejecuta con privilegios de nivel de sistema de Android. El malware emplea una arquitectura modular que separa sus funciones de puerta trasera de los módulos diseñados para generar ingresos para los afiliados.
Al arrancar un dispositivo infectado, XCPE contacta con un servidor de mando y control en el dominio anyevonline[.]com para obtener información de conexión y credenciales de un broker de mensajería MQTT, que después se utiliza para recibir órdenes. Google indica que el malware usa distintos subdominios de anyevonline[.]com según la versión de Android y el tipo de dispositivo. El broker MQTT, alojado en mqtt.szbboys[.]com, permitía a los operadores enviar comandos y desplegar otro malware en los equipos infectados.
A través de esa conexión, los operadores podían controlar remotamente los dispositivos comprometidos y realizar acciones maliciosas como:
- Descargar e instalar silenciosamente aplicaciones Android adicionales.
- Desactivar Google Play Protect.
- Ejecutar comandos de shell y scripts con privilegios de sistema.
- Capturar pantallas e inyectar pulsaciones de teclado.
- Recopilar información de cuentas, detalles del dispositivo, listas de aplicaciones instaladas y registros del sistema.
- Realizar reconocimiento de red y establecer shells inversas.
Los dispositivos también se utilizaban para generar ingresos mediante la instalación de módulos de malware de otros operadores, lo que convertía la puerta trasera en una plataforma de ciberdelincuencia modular para otros atacantes. Según Google, estos módulos incluían software asociado a servicios de proxy residencial como Linkfog, AppSalt/Honeygain, GaGaNode, NetNut y Traffmonetizer, empleado para enrutar tráfico de internet de terceros a través de los equipos infectados sin conocimiento ni consentimiento de sus propietarios.
Otros módulos cometían fraude publicitario generando impresiones de anuncios, cargando páginas web ocultas y haciendo clic en anuncios. Algunos instalaban otras puertas traseras, como Moyu, Spirit y Bird, para descargar y ejecutar más malware. Google asegura que los operadores de la botnet cambiaban continuamente la arquitectura del malware para evitar la detección.
A finales de 2024, Videostrong comenzó a usar un cargador independiente llamado com.abc.nexus, que ejecutaba los módulos maliciosos mientras XCPE se centraba en las comunicaciones con la infraestructura de C2. Desde agosto de 2026, los operadores empezaron a sustituir ese cargador por droppers más pequeños y especializados camuflados como aplicaciones del sistema Android.
La atribución a Videostrong
En un informe coordinado independiente, la firma de ciberseguridad Synthient explica cómo rastreó la puerta trasera XCPE y su infraestructura hasta Videostrong tras descubrir el malware preinstalado en una caja Android TV MECOOL KM9PRO Max adquirida a finales de 2025. Durante la investigación, Synthient halló un directorio accesible públicamente en el servidor file.anyevonline[.]com del malware que alojaba puertas traseras usadas por los operadores. El directorio abierto incluía además una carpeta con un PDF de Owen Cao, director de I+D de Videostrong Technology Co.
Los investigadores también descubrieron que el dominio videostrong[.]cn apuntaba a la misma dirección IP que mqtt.anyevonline[.]com, el servidor de mando y control que permitía a los operadores listar dispositivos comprometidos, enviar comandos y gestionar instalaciones de aplicaciones. Además, Synthient encontró que numerosas direcciones de correo corporativas de Videostrong se habían usado para firmar las puertas traseras.
Google afirma que las pruebas indican que el fabricante instaló el malware deliberadamente, y no que se tratara de un empleado desleal o de un descuido de desarrollo.
«Creemos que esta campaña no fue obra de un insider aislado ni un descuido de desarrollo», declaró Google.
La compañía también ha modificado su proceso de revisión de certificación después de descubrir que Videostrong usó técnicas de ofuscación para evadir las pruebas de seguridad y cargar código malicioso después del primer arranque de los dispositivos.
Aunque Google sostiene que la operación ha interrumpido las actividades de XCPE, el malware no se ha eliminado de los equipos infectados y se reinstalará automáticamente desde la partición /oem/ si se intenta borrar. Por ello, los usuarios tendrían que instalar un firmware limpio para eliminar la infección o desconectar el dispositivo afectado de internet para evitar nuevas actividades maliciosas.
BleepingComputer ha contactado con Google para plantear preguntas adicionales sobre la botnet y actualizará la información si recibe respuesta.
Deja una respuesta