Google desmantela la botnet XCPE que infectaba 1,3 millones de decodificadores Android TV

Google ha anunciado hoy que ha trabajado con socios de la industria para desmantelar una enorme botnet compuesta por más de 1,3 millones de decodificadores Android TV. La operación se centró en dispositivos fabricados por Videostrong Technology Co., que venían con malware preinstalado que alquilaba secretamente las conexiones a Internet de los usuarios. Se espera que esta acción corte el acceso a más de 10 millones de sistemas adicionales comprometidos en diversas categorías del Internet de las Cosas (IoT).

Qué ocurrió

El Grupo de Inteligencia de Amenazas de Google (GTIG) identificó a Videostrong Technology Co., un fabricante chino, como el actor principal detrás de la botnet denominada "XCPE". El nombre proviene de un componente central del malware incrustado en los dispositivos. GTIG concluyó que Videostrong incluyó intencionadamente este software malicioso en su hardware, permitiendo a la empresa monetizar la puerta trasera vendiendo acceso a afiliados criminales. Estos afiliados cargaban luego sus propios módulos de malware en los dispositivos infectados sin el consentimiento ni el conocimiento de los usuarios.

Aunque los decodificadores Android TV constituían la mayoría de las infecciones, también se descubrió el malware XCPE en otros productos IoT basados en Android. Entre ellos se incluían dispositivos de telemedicina, máquinas de karaoke y sistemas de señalización digital. Google declaró que, aunque exige a todos los fabricantes de dispositivos Android superar pruebas de compatibilidad y seguridad, Videostrong logró cargar su software malicioso inmediatamente después del primer arranque del dispositivo. Google señaló que desde entonces ha abordado la debilidad específica que permitía este vector de infección inicial.

Para ejecutar la eliminación, Google tomó medidas legales para incautarse de los dominios y servidores que Videostrong utilizaba para controlar la botnet y distribuir más malware. El informe destaca que este no fue un incidente aislado, sino parte de un ecosistema más amplio donde los fabricantes de dispositivos comprometen la confianza del usuario por lucro. La escala de la operación es significativa, y los expertos la describen como probablemente la mayor acción tomada contra decodificadores de TV con puertas traseras hasta la fecha.

Cómo funciona

La botnet XCPE opera convirtiendo los dispositivos infectados en nodos para servicios de proxy residencial. Una vez que un dispositivo está comprometido, instala software que pone la dirección de protocolo de Internet (IP) del usuario disponible para su reventa. Los servicios de proxy residencial permiten a los clientes alquilar estas direcciones IP para anonimizar su tráfico web o falsificar su ubicación geográfica. Esta infraestructura se utiliza frecuentemente para el fraude publicitario, la toma de control de cuentas y la extracción masiva de contenido para proyectos de inteligencia artificial.

El malware descargaba kits de desarrollo de software (SDK) de varios proveedores de proxy residencial directamente en los dispositivos infectados. Entre estos proveedores se encontraban AppSalt (también conocida como Honeygain), propiedad de Oxylabs, así como NetNut, EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb y GaGaNode. Algunas de estas empresas han enfrentado escrutinio reciente; por ejemplo, el FBI incautó cientos de dominios asociados con NetNut en julio de 2026 debido a su implicación en otra botnet llamada Popa.

La distribución de estos dispositivos infectados a menudo dependía de la influencia en redes sociales. Marcas como MECOOL y Superbox ganaron popularidad mediante recomendaciones en plataformas como TikTok y YouTube, donde influencers promocionaban su capacidad para ofrecer servicios de streaming pirata por una tarifa única. Por ejemplo, MECOOL experimentó un aumento en las ventas tras una mención del canal de YouTube Linus Tech Tips en 2023, aunque el canal actualizó posteriormente su contenido para etiquetar el producto como una estafa y eliminó los enlaces de afiliados.

Detalles clave

• Más de 1,3 millones de decodificadores Android TV fueron confirmados como parte de la botnet XCPE.
• Se espera que la eliminación corte el acceso a más de 10 millones de dispositivos IoT adicionales comprometidos.
• Videostrong Technology Co. fue identificado como el fabricante responsable de la preinstalación del malware.
• Los dispositivos infectados se utilizaron para apoyar servicios de proxy residencial incluyendo AppSalt, NetNut y Grass.
• El malware también afectó a dispositivos sanitarios basados en Android, máquinas de karaoke y señalización digital.
• Google ha parcheado la vulnerabilidad que permitía que el malware se cargara durante el arranque inicial del dispositivo.

Por qué importa

Para ingenieros de software y líderes de infraestructura, este incidente subraya los riesgos inherentes a la cadena de suministro del hardware de consumo. Cuando los fabricantes comprometen intencionadamente los dispositivos, crean una amenaza persistente que es difícil de detectar y mitigar solo desde el lado del software. El uso de estos dispositivos para proxies residenciales significa que el tráfico legítimo de sus aplicaciones puede mezclarse con actividad fraudulenta, complicando los esfuerzos de detección de fraude y monitoreo de seguridad.

Además, la dependencia de los proxies residenciales para la extracción de datos de IA y el fraude publicitario destaca un desafío creciente para los servicios digitales. A medida que los proyectos de IA requieren vastas cantidades de datos, aumenta la demanda de acceso anonimizado a nivel residencial. Esto impulsa el mercado de botnets como XCPE, creando un bucle de retroalimentación donde los dispositivos IoT comprometidos se convierten en valiosas mercancías para empresas criminales. Comprender esta dinámica es crucial para construir mecanismos de defensa robustos contra el abuso automatizado.

Qué puede hacer

• Audite el tráfico de su red en busca de patrones inusuales que puedan indicar el uso de proxies residenciales.
• Revise las prácticas de seguridad de los proveedores al adquirir hardware IoT para uso empresarial o de consumo.
• Implemente protocolos estrictos de autenticación de dispositivos para evitar que dispositivos no autorizados se unan a su red.
• Monitoree indicadores de compromiso asociados con SDKs de proxy conocidos como AppSalt o Honeygain.
• Eduque a los usuarios sobre los riesgos de comprar dispositivos de streaming no oficiales que prometen contenido premium gratuito.
• Manténgase actualizado sobre informes de inteligencia de amenazas de grupos como GTIG y Synthient para identificar botnets emergentes.