Google desarma una botnet en 1,3 millones de TV boxes

Google y varios socios desmantelaron XCPE, una botnet con más de 1,3 millones de TV boxes Android que venían con el malware instalado desde fábrica. Google atribuye la operación «con alta confianza» al fabricante chino Videostrong Technology y le revocó la certificación para producir dispositivos Android TV. (Fuente: BleepingComputer)

Según el informe que Google publicó el lunes 2 de noviembre, el malware estaba integrado en el firmware durante la fabricación: no se propagaba por vulnerabilidades ni por engaños al usuario. La empresa afirma que fue «intentionally developed, deployed, and operated for financial gain» por Videostrong y que no fue obra de un empleado aislado ni un descuido de desarrollo. También sostiene que Videostrong vendía acceso a afiliados criminales.

Qué hacía el malware

• Fraude publicitario: impresiones, páginas ocultas y clics falsos.
• Proxies residenciales: usaba la conexión de los dispositivos para servicios como Linkfog, AppSalt/Honeygain, GaGaNode, NetNut y Traffmonetizer.
• Puertas traseras: módulos adicionales (Moyu, Spirit y Bird) con privilegios de sistema, que permitían instalar apps en silencio, desactivar Google Play Protect, ejecutar comandos, capturar pantallas, inyectar pulsaciones y recolectar datos de cuentas.

Qué hizo Google

Google derribó servidores de control usados por más de una docena de familias de malware, lo que, según la empresa, cortó el acceso a al menos 10 millones de dispositivos adicionales comprometidos por otros medios, algunos de ellos no Android; esa cifra es de Google y no se verificó de forma independiente. Además terminó su relación con Videostrong, le revocó la licencia para fabricar dispositivos Android TV con apps y servicios de Google, le prohibió a la empresa y a sus futuros afiliados producir equipos certificados y cambió su proceso de revisión de certificación, porque detectó que el fabricante usaba ofuscación para evadir las pruebas y cargaba código malicioso después del primer arranque. Participaron la Agencia Nacional de Policía de Japón y las empresas Lumen, HUMAN Security, Plume, Synthient y TrendAI.

Si tenés uno de estos equipos

Según la nota, el malware no se elimina con una simple desinstalación porque se reinstala desde la partición /oem/. La solución pasa por instalar un firmware limpio o desconectar el dispositivo de internet para frenar la actividad maliciosa. La investigación de Synthient, que adquirió a fines de 2025 un MECOOL KM9PRO Max con el malware preinstalado, aporta parte de la evidencia citada.

Qué no está confirmado: BleepingComputer no incluye una respuesta de Videostrong ni menciona acciones judiciales; las medidas descriptas son contractuales y de certificación. La respuesta de Google a las consultas del medio estaba pendiente al momento de la publicación.

Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.