Google y varios socios del sector han interrumpido la botnet de malware XCPE, que, según la empresa, estaba integrada en más de 1,3 millones de dispositivos de streaming Android TV durante su fabricación. Google atribuye la operación con un alto grado de confianza al fabricante chino de dispositivos Videostrong Technology Co., y alega que la empresa instaló una puerta trasera persistente y vendió acceso a afiliados criminales para obtener beneficios económicos.
Los dispositivos comprometidos se utilizaban para varios tipos de ciberdelincuencia. Los afiliados desplegaban módulos para cometer fraude publicitario, convertían los dispositivos en proxies residenciales e instalaban malware adicional. Google también desmanteló servidores de mando y control utilizados por más de una docena de familias de malware relacionadas, cortando el acceso a al menos otros 10 millones de dispositivos comprometidos. Esos dispositivos incluían decodificadores vendidos en comercios, máquinas de karaoke y equipos de telesalud, y no todos eran productos Android.
Google ha puesto fin a su relación con Videostrong, revocó la autorización de la empresa para fabricar dispositivos Android TV con aplicaciones y servicios de Google precargados, y le prohibió, tanto a ella como a futuros afiliados, producir dispositivos Android certificados o suministrar software a proveedores certificados.
El malware XCPE se diferenciaba de las botnets que normalmente infectan dispositivos mediante vulnerabilidades de software o descargas engañosas. Según Google, estaba integrado directamente en el firmware de los dispositivos y se distribuyó en varias marcas y modelos durante varios años. Sus componentes principales, identificados como x.cpe y com.oemservice, operaban con privilegios de nivel de sistema de Android y utilizaban un diseño modular que separaba las capacidades de puerta trasera de las herramientas generadoras de ingresos.
Después de que se iniciara un dispositivo infectado, el malware contactaba con la infraestructura del dominio anyevonline[.]com para obtener detalles de conexión y credenciales de un bróker MQTT alojado en mqtt.szbboys[.]com. Los operadores podían entonces emitir comandos de forma remota e instalar aplicaciones adicionales, desactivar Google Play Protect, ejecutar comandos de shell, realizar capturas de pantalla, registrar pulsaciones de teclas y recopilar información de cuentas, dispositivos, aplicaciones y sistemas. El malware también podía realizar reconocimiento de red y establecer shells inversos.
Google afirmó que la plataforma admitía módulos vinculados a servicios de proxies residenciales, entre ellos Linkfog, AppSalt/Honeygain, GaGaNode, NetNut y Traffmonetizer. Estos servicios enrutaban tráfico de terceros a través de dispositivos infectados sin el conocimiento ni el consentimiento de sus propietarios. Otros módulos generaban actividad publicitaria fraudulenta, instalaban puertas traseras adicionales y descargaban más malware.
Los operadores cambiaban repetidamente el malware para dificultar su detección. A finales de 2024, introdujeron un cargador independiente llamado com.abc.nexus, mientras que desde agosto de 2026 habían comenzado a sustituirlo por droppers más pequeños disfrazados de aplicaciones del sistema Android.
La empresa de ciberseguridad Synthient vinculó el malware y su infraestructura con Videostrong después de encontrar la puerta trasera preinstalada en un dispositivo Android TV MECOOL KM9PRO Max adquirido a finales de 2025. Los investigadores también identificaron un directorio de acceso público que contenía puertas traseras y un PDF asociado con Owen Cao, director de I+D de Videostrong. Descubrieron que el dominio de Videostrong se resolvía en la misma dirección IP que un servidor de mando y control de XCPE y que se habían utilizado direcciones de correo electrónico de la empresa para firmar las puertas traseras.
Google afirmó que las pruebas apuntaban a una instalación deliberada por parte del fabricante, en lugar de a un empleado interno aislado o a un error accidental de desarrollo. La empresa también ha modificado su proceso de revisión de certificación después de determinar que Videostrong utilizaba ofuscación para evadir las pruebas y cargar código malicioso después de que los dispositivos completaran su arranque inicial.
Aunque la interrupción afectó a la infraestructura de la botnet, Google afirmó que el malware permanece en los dispositivos infectados. Si se elimina, puede reinstalarse desde la partición /oem/. Los usuarios tendrían que instalar un firmware limpio para eliminar la infección o desconectar de internet los dispositivos afectados para impedir nuevas actividades maliciosas.
En la operación participaron la Agencia Nacional de Policía de Japón y las empresas de seguridad Lumen, HUMAN Security, Plume, Synthient y TrendAI.
Fuentes: BleepingComputer.