Su decodificador de TV ya venía infectado de fábrica: Google descubre un botnet de 1,3 millones de dispositivos

Millones de decodificadores de televisión se vendían ya con código malicioso que transfería el control a terceros de forma oculta. Google reveló la actividad del botnet XCPE, que agrupó más de 1,3 millones de dispositivos Android. Junto con socios, la empresa interrumpió el funcionamiento de la infraestructura criminal y nombró al presunto organizador del esquema a gran escala.

El principal sospechoso fue Videostrong Technology, fabricante de hardware y firmware para Android. Google considera con alta probabilidad que la compañía integró intencionalmente una puerta trasera en dispositivos de distintas marcas y vendió el acceso a los equipos infectados a operadores terceros de software malicioso. El esquema operó durante varios años y permitía obtener ingresos con los decodificadores incluso después de su venta a los compradores.

El componente malicioso x.cpe estaba ubicado directamente en la partición del sistema del firmware y se ejecutaba con privilegios de Android. Al intentar eliminarlo, el programa se restablecía automáticamente desde la partición /oem/ después del reinicio. El fabricante también empleaba camuflaje que permitía pasar las verificaciones de Google y descargar componentes maliciosos tras el primer encendido del dispositivo.

Tras activarse, la puerta trasera se comunicaba con servidores de control por HTTP, recibía configuraciones y abría un canal persistente MQTT. Los operadores podían instalar aplicaciones sin ser detectados, ejecutar comandos del sistema, capturar imágenes de la pantalla y recopilar información del dispositivo. Google también detectó el robo de credenciales de cuentas y un mecanismo para desactivar Google Play Protect a fin de eludir la verificación de aplicaciones.

Los ingresos principales provenían de módulos maliciosos adicionales. Unos simulaban visualizaciones de anuncios, otros convertían las conexiones domésticas en servidores proxy de pago para retransmitir tráfico ajeno. Un esquema similar ya se había visto en el botnet Kimwolf, que infectó millones de dispositivos Android. En el caso de XCPE, el acceso a dicha infraestructura lo vendía el presunto organizador de la infección.

El alcance de la campaña excedió con creces los decodificadores de televisión. La empresa TrendAI confirmó la propagación de XCPE en más de 200 países. Entre los dispositivos afectados, Google también halló equipamiento médico para la atención remota de pacientes, sistemas de karaoke y paneles publicitarios digitales.

Para detener el botnet, Google consiguió el bloqueo de los dominios y servidores de control, así como de la infraestructura de más de una decena de familias de software malicioso. Según la compañía, las medidas adoptadas deberían privar a los operadores del acceso a al menos 10 millones de dispositivos adicionales infectados. Se trata de un resultado previsto de los bloqueos, no de una limpieza confirmada de todo el equipo.

Google finalizó la colaboración con Videostrong y prohibió al fabricante, incluidas futuras filiales, lanzar dispositivos Android certificados y suministrar software a otros fabricantes certificados. Tras descubrirse la evasión de las verificaciones, la compañía reforzó el control del firmware.

El problema de la infección de fábrica ya se había manifestado en el caso BADBOX 2.0. Google recomienda comprar dispositivos a fabricantes de confianza, usar tiendas de aplicaciones confiables y no desactivar Play Protect.