Videostrong Technology es un fabricante de hardware con sede en Shenzhen, China. Construye dispositivos Android, incluyendo cajas de TV domésticas y proyectores. Según Google, Videostrong incrustó deliberadamente la puerta trasera XCPE en el firmware del dispositivo y vendió el acceso a afiliados criminales, permitiéndoles instalar módulos de malware adicionales en dispositivos enviados a clientes desprevenidos. Cuando los compradores conectaban estos dispositivos a sus redes domésticas, la puerta trasera preinstalada permitía a los operadores crear redes proxy y ocultar el tráfico malicioso utilizando las conexiones a internet de los clientes sin su conocimiento.

El agente de gestión preinstalado del firmware pretendía ser un cliente de gestión remota estándar, según TrendAI. Obtenía actualizaciones de una página de GitHub y se conectaba a un servidor de Transporte de Telemetría de Cola de Mensajes (MQTT) que daba al operador el control remoto total de cada caja, permitiéndoles instalar y eliminar aplicaciones, cambiar la configuración y enviar actualizaciones a los dispositivos infectados.

Entre el 3 de junio y el 1 de octubre, TrendAI documentó más de 3,8 millones de direcciones IP domésticas y móviles distintas aquí conectadas a la operación.

La coalición también desarticuló los dominios de comando y control utilizados para gestionar los módulos de afiliados. “Debido a que estos afiliados tienen canales de distribución diversificados para sus módulos más allá de XCPE, evaluamos que la eliminación de sus dominios C2 cortará el acceso a al menos 10 millones de dispositivos comprometidos adicionales”, según GTIG.

Google afirmó que desde entonces ha cortado vínculos con Videostrong y ha prohibido que el OEM fabrique dispositivos con aplicaciones de Google preinstaladas.

Videostrong no respondió inmediatamente a las consultas de The Register.

Esta operación de puerta trasera y botnet es parte del mismo ecosistema que BadBox 2.0, otra botnet notoria que infectó a más de 10 millones de cajas de TV y otros dispositivos antes de que Human, Google y TrendAI la desarticularan aquí en marzo de 2025.

Fuente:
TheRegister