Google y sus socios desmantelaron la botnet XCPE, que infectó más de un millón de dispositivos Android TV fabricados por la empresa china Videostrong. La compañía instaló deliberadamente puertas traseras en el firmware para generar ingresos mediante fraude publicitario y la venta de acceso a cibercriminales. Como respuesta, Google revocó la licencia de Videostrong y eliminó los servidores de control, afectando a millones de dispositivos comprometidos.






Google y sus socios de la industria han desmantelado la botnet de malware XCPE, compuesta por más de 1,3 millones de cajas de streaming Android TV que, según Google, el fabricante infectó intencionalmente con malware para generar ingresos a través de actividades cibercriminales.

La compañía atribuye la botnet con alta confianza al fabricante chino de dispositivos Videostrong Technology Co, acusando a la empresa de instalar deliberadamente una puerta trasera persistente en los dispositivos que fabricaba y de vender el acceso a afiliados criminales.

Estos afiliados utilizaron los dispositivos vulnerados para desplegar módulos maliciosos que se usaron para el fraude publicitario, convertir los dispositivos infectados en proxies residenciales e instalar malware adicional.


Como parte de la interrupción, Google afirma que derribó los servidores de comando y control (C2) de XCPE utilizados por más de una docena de familias de malware relacionadas, cortando el acceso a al menos 10 millones de dispositivos comprometidos adicionales.

Estos dispositivos adicionales fueron comprometidos a través de malware distribuido por medios distintos a XCPE, e incluyen decodificadores minoristas, máquinas de karaoke y hardware de telesalud. Google señala que no todos ellos son dispositivos Android.

Google también ha terminado su relación con Videostrong, ha revocado su licencia para fabricar dispositivos Android TV con aplicaciones y servicios de Google preinstalados, y ha prohibido a la empresa y a sus futuros afiliados producir dispositivos Android certificados o suministrar software a proveedores certificados.

"Evaluamos con alta confianza que la puerta trasera y la botnet fueron desarrolladas, desplegadas y operadas intencionalmente para obtener beneficios económicos por Videostrong Technology Co.", afirmó el Grupo de Inteligencia de Amenazas de Google (GTIG) en un informe publicado el lunes [enlace].

Google indica que la interrupción contó con la participación de la Agencia Nacional de Policía de Japón y las empresas de seguridad Lumen, HUMAN Security, Plume, Synthient y TrendAI, que se coordinaron para analizar la infraestructura maliciosa y desmantelar sus operaciones.

la botnet xcpe

A diferencia de otras botnets que suelen vulnerar dispositivos a través de vulnerabilidades o engañando a los usuarios para que instalen malware, la botnet XCPE estaba incrustada directamente en el firmware del dispositivo durante la fabricación.

Google afirma que Videostrong había estado desarrollando y distribuyendo el malware en múltiples marcas y modelos de dispositivos durante años, evolucionando sus capacidades para evadir la detección y dar soporte a diferentes afiliados criminales.

"Encontramos este software malicioso integrado directamente en muchos modelos y marcas de dispositivos diferentes a lo largo de varios años, apoyado por una infraestructura dedicada y configuraciones en constante evolución para evadir la detección y gestionar a sus afiliados", afirma Google.

El componente principal de la puerta trasera, rastreado como x.cpe y com.oemservice, se ejecuta con privilegios de nivel de sistema de Android.

El malware utiliza una arquitectura modular que separa sus funciones de puerta trasera de los módulos diseñados para generar ingresos para los afiliados.

Después de que un dispositivo infectado se inicia, XCPE contacta con un servidor de comando y control en el dominio anyevonline[.]com para obtener información de conexión y credenciales para un agente de mensajes MQTT, que luego se utiliza para recibir comandos.

Google afirma que el malware utiliza diferentes subdominios de anyevonline[.]com dependiendo de la versión de Android y el tipo de dispositivo. El agente MQTT, alojado en mqtt.szbboys[.]com, permitía a los operadores enviar comandos y desplegar otros malware en los dispositivos infectados.

A través de esta conexión, los operadores pueden controlar remotamente los dispositivos comprometidos y realizar acciones maliciosas, tales como:

* Descargar e instalar silenciosamente aplicaciones Android adicionales.
* Desactivar Google Play Protect.
* Ejecutar comandos de shell y scripts con privilegios de sistema.
* Capturar capturas de pantalla e inyectar pulsaciones de teclas.
* Recopilar información de cuentas, detalles del dispositivo, listas de aplicaciones instaladas y registros del sistema.
* Realizar reconocimiento de red y establecer shells inversas.

Los dispositivos también se utilizaron para generar ingresos mediante la instalación de módulos de malware pertenecientes a otros operadores, convirtiendo la puerta trasera en una plataforma de cibercrimen plug-in para otros cibercriminales.

Según Google, estos módulos incluían software asociado con servicios de proxy residenciales como Linkfog, AppSalt/Honeygain, GaGaNode, NetNut y Traffmonetizer, que se utilizaba para enrutar tráfico de internet de terceros a través de dispositivos infectados sin el conocimiento o consentimiento de sus propietarios.

Otros módulos cometieron fraude publicitario generando impresiones de anuncios, cargando páginas web ocultas y haciendo clic en anuncios. Algunos módulos instalaron otras puertas traseras, incluidas Moyu, Spirit y Bird, para descargar y ejecutar otros malware.

Google afirma que los operadores de la botnet cambiaron continuamente la arquitectura del malware para evitar la detección.

A finales de 2024, Videostrong comenzó a utilizar un cargador separado llamado com.abc.nexus, que ejecutaba los módulos maliciosos mientras XCPE se centraba en las comunicaciones con la infraestructura C2.

Desde agosto de 2026, los operadores comenzaron a reemplazar ese cargador con droppers especializados más pequeños disfrazados de aplicaciones del sistema Android.

Atribución a videostrong

En un informe coordinado independiente [enlace], la firma de ciberseguridad Synthient explica cómo rastreó la puerta trasera y la infraestructura de XCPE hasta Videostrong después de descubrir el malware preinstalado en una caja Android TV MECOOL KM9PRO Max adquirida a finales de 2025.

Durante su investigación, Synthient encontró un directorio accesible públicamente en el servidor file.anyevonline[.]com del malware que alojaba puertas traseras utilizadas por los operadores. El directorio abierto también incluía una carpeta PDF que contenía un documento de Owen Cao, el director de I+D de Videostrong Technology Co.

Los investigadores también descubrieron que el dominio videostrong[.]cn de Videostrong apuntaba a la misma dirección IP que mqtt.anyevonline[.]com, el servidor de comando y control que permitía a los operadores listar dispositivos comprometidos, enviar comandos y gestionar instalaciones de aplicaciones.

Además, Synthient descubrió que se habían utilizado numerosas direcciones de correo electrónico de la empresa Videostrong para firmar las puertas traseras.

Google afirma que las pruebas indican que el fabricante instaló el malware deliberadamente, en lugar de tratarse de un empleado desleal o un descuido en el desarrollo.

"Creemos que esta campaña no fue el resultado de un insider aislado o un descuido de desarrollo", afirmó Google.

Google también señala que ha modificado su proceso de revisión de certificación tras descubrir que Videostrong utilizó técnicas de ofuscación para evadir las pruebas de seguridad y cargar código malicioso después del primer arranque de los dispositivos.

Aunque Google afirma que el desmantelamiento ha interrumpido las operaciones de XCPE, el malware no ha sido eliminado de los dispositivos infectados y se reinstalará automáticamente desde la partición /oem/ si se elimina.

Como resultado, los usuarios tendrían que instalar un firmware limpio para eliminar la infección o desconectar el dispositivo afectado de internet para evitar más 

Fuente:
BleepingComputer