Google y sus socios industriales han desmantelado la botnet XCPE, la cual infectó a más de 1,3 millones de decodificadores mediante malware preinstalado. Google ha vinculado esta operación con Videostrong Technology, acusando al fabricante de dispositivos Android de crear y operar deliberadamente esta puerta trasera con fines lucrativos.

Google y sus socios de la industria han desmantelado la botnet XCPE, que reclutó a más de 1,3 millones de decodificadores (set-top boxes) a través de malware preinstalado. En un informe del 2 de noviembre, Google vinculó la operación con alta confianza a Videostrong Technology, acusando al fabricante de dispositivos Android de construir y ejecutar deliberadamente la puerta trasera para obtener beneficios.

Según la investigación técnica de Google, Videostrong vendió el acceso a afiliados criminales que instalaron herramientas de fraude publicitario, software de proxy y más malware.

Google prohibió que la empresa, incluyendo futuras subsidiarias y afiliados, produzca dispositivos Android certificados o suministre software a proveedores certificados.

Desmantelada la botnet XCPE de 1,3 millones de dispositivos

La puerta trasera, llamada x.cpe o com.oemservice, estaba integrada en el firmware del dispositivo y se ejecutaba con privilegios del sistema Android. Eliminar el paquete instalado no borraba la infección porque podía reinstalarse desde la partición /oem/ después de un reinicio. Google afirmó que un código oculto que se cargaba tras el primer arranque ayudaba a evadir los controles de seguridad.

Su diseño de tres etapas separaba el control remoto de la ejecución del malware. La puerta trasera pasaba instrucciones a com.abc.nexus, un cargador que configuraba los módulos de los afiliados.

Esos módulos convertían los dispositivos en puntos de salida de proxy, generaban vistas publicitarias falsas o instalaban más puertas traseras. Esta separación también ayudó a que la actividad maliciosa fuera más difícil de detectar.

El tráfico de control utilizaba MQTT, un protocolo de mensajería ligero. Google identificó mqtt.szbboys[.]com en los puertos 3885–3887. Los operadores podían instalar aplicaciones silenciosamente, ejecutar comandos de shell, capturar pantallas e inspeccionar redes.

Los investigadores también observaron detalles de cuentas robadas y registros del sistema, pulsaciones de teclas inyectadas y comandos que abrían el acceso a shell remoto. El malware podía desactivar la verificación de Google Play Protect.

La interrupción llega más allá de XCPE

Google trabajó con la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI. Las acciones legales se dirigieron a los servidores de XCPE y a los dominios de control que servían a más de una docena de familias de malware afiliadas.

Google estima que estas desarticulaciones más amplias cortarán el acceso a al menos 10 millones de dispositivos comprometidos adicionales, independientes de los 1,3 millones de cajas de XCPE.

Los hallazgos siguen a acciones legales previas de Google contra BadBox 2.0, que afectó a más de 10 millones de dispositivos Android no certificados. Infecciones anteriores de BADBOX que involucraron a 190.000 dispositivos Android también expusieron los riesgos del hardware conectado comprometido. Estas cifras anteriores no deben combinarse con el total de XCPE.

La mayoría de las infecciones de XCPE involucraron cajas de Android TV, pero los investigadores también encontraron equipos de telesalud, máquinas de karaoke y señales digitales afectados. Google ha cambiado su proceso de revisión de dispositivos y está mejorando las comprobaciones de integridad del firmware tras el descubrimiento.

El desmantelamiento interrumpe la infraestructura de control, en lugar de garantizar que cada dispositivo esté limpio. Google te insta a elegir fabricantes reputados, consultar su lista de socios certificados, usar tiendas de aplicaciones confiables y mantener activado Play Protect. También te advierte contra las aplicaciones que ofrecen pagos por compartir ancho de banda no utilizado.