Google desarmó una botnet de 1,3 millones de TV box Android con malware de fábrica

El Google Threat Intelligence Group (GTIG), el área de inteligencia de amenazas de Google, informó el lunes 2 de noviembre que a fines de octubre desarticuló XCPE, una puerta trasera que venía instalada de fábrica en decodificadores y TV box con Android y que había sumado más de 1,3 millones de equipos a una botnet, es decir, una red de dispositivos controlados a distancia. La compañía atribuyó "con alta confianza" el desarrollo y la operación del sistema al fabricante chino Videostrong Technology Co., con sede en Shenzhen, que hasta ahora era un socio certificado de Android. Participaron del operativo la Agencia Nacional de Policía de Japón y cinco empresas de seguridad.

Según el informe de Google, la puerta trasera permitía a sus operadores instalar aplicaciones sin que el usuario se enterara, ejecutar comandos con privilegios de sistema y apagar las protecciones de Google Play Protect. Videostrong, siempre según la empresa estadounidense, vendía ese acceso a terceros que lo usaban para fraude publicitario y para revender la conexión a internet de los hogares como proxy residencial.

Qué hizo Google

El GTIG detalló que cortó la relación comercial con Videostrong y que el fabricante ya no puede producir ni vender equipos Android certificados con las aplicaciones de Google, ni proveer software a otros fabricantes certificados. La prohibición, según el informe, alcanza también a las filiales que la empresa cree en el futuro.

Además, Google inició acciones legales contra dominios y servidores de Videostrong y contra los servidores de comando y control (C2, desde donde se dan las órdenes a los equipos infectados) de más de una docena de familias de malware que usaban los socios del fabricante. La compañía estima que, al caer esa infraestructura, otros 10 millones de dispositivos, como mínimo, quedaron desconectados de quienes los manejaban. Se trata de equipos infectados por otras vías, que según BleepingComputer no son todos Android.

La empresa sostuvo que no se trató de un hecho aislado. "Creemos que esta campaña no fue obra de un empleado aislado ni un descuido de desarrollo", escribió el GTIG, que señaló que la puerta trasera apareció en muchos modelos y marcas durante varios años y con infraestructura propia. "Que un fabricante de dispositivos infecte intencionalmente a sus usuarios con malware es una inaceptable violación de la confianza", agregó.

Cómo funcionaba el malware

De acuerdo con la descripción técnica de Google, el sistema tenía tres etapas. La primera es un componente llamado x.cpe (en algunas versiones, com.oemservice), que corre con permisos de sistema desde la partición del firmware y se comunica con los servidores de los operadores. La segunda es un cargador, com.abc.nexus, y la tercera, los módulos que aportaban los clientes de Videostrong.

Ese diseño hace que el malware sea difícil de eliminar: si el usuario lo borra, se reinstala solo desde la partición /oem/ cuando el equipo se reinicia, según explicaron Google, BleepingComputer y heise.

Entre las funciones que el GTIG le atribuye a la puerta trasera figuran:

• instalar aplicaciones en silencio;
• ejecutar comandos con privilegios de sistema y abrir accesos remotos;
• tomar capturas de pantalla y simular pulsaciones de teclas;
• extraer datos de cuentas, del equipo, de las aplicaciones instaladas y de los registros;
• reconocer la red doméstica;
• desactivar la verificación de aplicaciones de Google Play Protect.

Google explicó que Videostrong logró pasar los controles de certificación porque ofuscó el código y descargaba la parte maliciosa después del primer encendido. La compañía dijo que modificó su proceso de revisión y la verificación de integridad del firmware en los Android TV certificados.

La gran mayoría de los equipos afectados son TV box, pero el informe también menciona dispositivos de telemedicina, máquinas de karaoke y pantallas de cartelería digital que funcionan con Android.

El negocio: proxies y fraude publicitario

Según Google, los clientes de Videostrong cargaban en los equipos módulos que generaban clics falsos sobre publicidad, sumaban la conexión del hogar a redes de proxies residenciales sin aviso al usuario y descargaban más malware. Los proxies residenciales alquilan conexiones de casas comunes para que otros puedan ocultar el origen de su tráfico; iTnews, Infosecurity y BetaNews indicaron que ese servicio se usa para tomar cuentas ajenas, cometer fraude, hacer extracción masiva de datos y lanzar ataques de denegación de servicio.

Entre los servicios de proxy detectados, BleepingComputer e Infosecurity mencionaron a Linkfog, AppSalt/Honeygain, GaGaNode, NetNut y Traffmonetizer. BetaNews sumó otros y afirmó que un mismo equipo podía llevar hasta tres de esos kits a la vez, un dato que no aparece en otras fuentes.

La marca MECOOL y los países afectados

La firma de investigación Synthient, que participó del operativo, compró a fines de 2025 un TV box MECOOL KM9PRO Max y encontró el malware preinstalado, según publicaron BleepingComputer y Cybernews. Synthient vincula a Videostrong con la marca MECOOL, y el propio código revisado por Google busca una propiedad del sistema identificada con el nombre de esa marca. iTnews y BetaNews, citando a Synthient, informaron que MECOOL es comercializada por la empresa china Skyworth Technology; Google no menciona a Skyworth y esa relación no está confirmada.

Según Synthient, citada por Cybernews, los países con más equipos con XCPE son Malasia, México y Brasil, seguidos por Estados Unidos, China y Alemania. El mapa que publicó Google, según Android Authority, incluye también a México y Brasil, además de Australia, Indonesia, Rusia, Sudáfrica, España, Turquía, Reino Unido y Estados Unidos. Ninguna de las fuentes consultadas menciona a la Argentina: no hay datos públicos sobre equipos afectados en el país ni sobre la venta de productos de Videostrong o MECOOL en el mercado local.

Google no publicó una lista de modelos afectados, según remarcó BetaNews. Cybernews informó que Synthient detectó unos 180 nombres de modelos en la campaña, una cifra que no aparece en otras fuentes. Lo que sí difundió el GTIG son indicadores de compromiso, que sirven a los equipos técnicos para detectar la infección.

Cifra	Qué representa	Fuente
Más de 1,3 millones	Equipos que formaban parte de la botnet XCPE	Google
Unos 500.000	Equipos activos por día	Synthient, vía Cybernews
Al menos 10 millones	Equipos adicionales desconectados de sus operadores (estimación)	Google
Más de 12	Familias de malware cuyos servidores fueron dados de baja	Google
Unos 180	Nombres de modelos detectados	Synthient, vía Cybernews
168	Recursos de red listados como indicadores de compromiso	Cybernews

La relación con BadBox

El caso tiene antecedentes. Google cree que Videostrong reorganizó el malware en tres etapas hacia fines de 2024, "posiblemente como respuesta" a la acción que la empresa había tomado contra BadBox, otra operación de equipos Android infectados de fábrica. BetaNews vinculó ese movimiento con la ofensiva contra BadBox 2.0, y Cybernews señaló que varios de los módulos maliciosos ya habían estado asociados a esa operación. Ninguna fuente afirma que XCPE y BadBox sean la misma campaña.

La diferencia que destacaron los medios especializados es que, en este caso, el responsable señalado es un fabricante certificado por Google, y no una marca sin certificar, como ocurría en la mayoría de los equipos de BadBox. BleepingComputer informó que en agosto los operadores empezaron a reemplazar el cargador por programas más pequeños disfrazados de aplicaciones del sistema.

Los socios del operativo

Además de la policía japonesa, el GTIG trabajó con Lumen, HUMAN Security, Plume, Synthient y TrendAI. Synthient y Plume publicaron sus propios informes el mismo lunes.

Ben Brundage, fundador de Synthient, consideró que el número de equipos afectados es mayor que el informado. "La escala de dispositivos afectados probablemente es mucho mayor", dijo a BetaNews. El propio GTIG advirtió que "el mercado ilegal de fondo es resistente", según citaron Infosecurity y Cybernews.

Cómo saber si tu equipo está afectado y qué hacer

El desmantelamiento cortó la comunicación con los servidores, pero no borró el malware de los aparatos ya infectados, según BleepingComputer, heise y Cybernews. Estas son las recomendaciones que difundieron Google y los investigadores:

• Revisar la marca y el origen. Si el equipo es un MECOOL o un TV box de marca poco conocida comprado fuera de canales oficiales, conviene tratarlo como sospechoso. Android Authority aconsejó dejar de usar los MECOOL.
• Chequear la conexión. Synthient ofrece la herramienta synthient.com/check para ver si la dirección IP del hogar está siendo usada como proxy residencial.
• Desconectar o reemplazar. Según BleepingComputer, la única forma de limpiar el equipo es instalar un firmware limpio o desconectarlo de internet. Synthient recomienda directamente deshacerse de él, porque un borrado o un restablecimiento de fábrica no alcanza: el malware vuelve a instalarse.
• Cambiar contraseñas. Synthient sugiere cambiar la clave del Wi-Fi y otras credenciales, actualizar el firmware del router y ubicar los dispositivos conectados en una red separada.
• Comprar con criterio. Google recomienda adquirir equipos de fabricantes confiables y consultar la lista de socios en el sitio de Android TV, usar tiendas de aplicaciones confiables, mantener activado Google Play Protect, revisar los permisos de VPN y proxies, y desconfiar de aplicaciones que ofrecen pagar por el ancho de banda que no se usa.

Heise observó que parte de esos consejos tienen alcance limitado en este caso, porque el malware podía desactivar Play Protect y Videostrong figuraba como fabricante certificado. Según Cybernews, citando a Synthient, este tipo de equipos se popularizó "sobre todo para la piratería", porque permite instalar aplicaciones de terceros.

Lo que falta saber

• Qué responden Videostrong y MECOOL: heise y Android Authority pidieron comentarios y no obtuvieron respuesta hasta el martes 3 de noviembre. Según heise, Videostrong seguía mostrando la certificación de Google en su sitio.
• Cuál es la relación entre Skyworth, Videostrong y MECOOL, que Google no aclaró.
• Qué marcas y modelos concretos están afectados: no hay una lista oficial, y la cifra de unos 180 modelos proviene de una sola fuente.
• Si Google enviará alguna actualización para limpiar los equipos en uso: según BetaNews, el informe no lo dice.
• Si hay equipos afectados en la Argentina y si los productos de Videostrong se venden en el país.
• Si la policía japonesa avanzará con causas contra personas.

Versiones que no coinciden

• Fecha del informe: Infosecurity y BleepingComputer indican el 2 de noviembre; el buscador indexa el blog el 1 de noviembre a las 16:01 UTC, posiblemente por diferencia horaria.
• Origen de la campaña: AVPasión y Cybernews hablan de 'desde al menos 2024'; Google se refiere a la reestructuración de fines de 2024 y a un malware presente 'durante varios años', sin fecha de inicio precisa.
• Responsable: Android Authority apunta a 'la empresa detrás de MECOOL'; Google nombra solo a Videostrong; iTnews y BetaNews mencionan a Skyworth como vendedora de MECOOL.
• Certificación: AVPasión dice que 'algunos' equipos estaban certificados; Google confirma que Videostrong era OEM certificado pero no precisa cuántos equipos lo eran.
• iTnews escribió 'XPCE' en una bajada; el nombre correcto es XCPE.