Google desactivó una red de 1,3 millones de decodificadores de TV infectados de fábrica y vetó al fabricante

Google desmanteló una red de más de 1,3 millones de decodificadores de televisión Android que venían infectados desde la fábrica, y prohibió a su fabricante, la china Videostrong Technology, producir dispositivos con sus aplicaciones. Lo anunció el 2 de noviembre, junto con firmas de seguridad y la Policía Nacional de Japón.

El grupo de inteligencia de amenazas de Google (GTIG) afirmó con “alta confianza” que Videostrong desarrolló, instaló y operó el programa malicioso, llamado XCPE, con fines de lucro. Según Google, la empresa vendía el acceso a los aparatos a grupos criminales, que lo usaban para estafas publicitarias y para instalar otros programas dañinos.

A diferencia de otras redes de dispositivos infectados, esta no dependía de que el usuario abriera un archivo sospechoso. El código estaba en el firmware, el software básico que hace funcionar el aparato, y viajaba con cada caja. Los compradores no recibieron aviso ni opción de rechazarlo.

La firma de seguridad TrendAI midió la operación entre junio y octubre y contó 1.472.554 dispositivos infectados, de 206 modelos y en más de 170 países. Google y sus socios hablan de más de 1,3 millones de aparatos en más de 200 países. TrendAI explicó que la diferencia depende de cuándo tomó cada socio su registro.

Tráfico ajeno a través de la conexión del hogar

Una de las funciones principales era convertir cada caja en un “proxy residencial”: un servicio que hace pasar el tráfico de terceros por la conexión a internet de una casa. Para los bancos y las tiendas en línea, esa actividad parece la de un vecino común y evita sus controles.

TrendAI registró 3,8 millones de direcciones de internet de hogares y móviles conectadas a la operación entre el 3 de junio y el 1 de octubre, según The Register.

Según BleepingComputer, que citó el informe de Google, el programa también podía desactivar Google Play Protect (el sistema de verificación de aplicaciones de Android), ejecutar comandos con privilegios de sistema, capturar pantallas y recopilar datos de las cuentas y las aplicaciones instaladas. Entre los servicios de proxy cuyos módulos instalaba figuran Honeygain, NetNut y Traffmonetizer.

Google dijo que el hallazgo no fue un descuido aislado. “Creemos que esta campaña no fue obra de un empleado rebelde ni un error de desarrollo”, señaló la compañía, según 9to5Google. El programa llevaba varios años en distintas marcas y modelos, con infraestructura propia y configuraciones que cambiaban para evitar la detección.

Videostrong, con sede en Shenzhen, no respondió de inmediato a las consultas de The Register. Ese medio recordó que esta red pertenece al mismo entorno que BadBox 2.0, otra red que infectó a más de 10 millones de cajas de televisión y otros aparatos antes de que Google, Human y TrendAI la desarticularan en marzo de 2025.

Los aparatos siguen infectados

La caída de los servidores de control no limpia los dispositivos ya vendidos. Según BleepingComputer, el programa se reinstala solo desde una partición del sistema (la zona del aparato reservada al fabricante) si alguien lo borra. Para eliminarlo hace falta cargar un software limpio. La alternativa es desconectar la caja de internet.

TrendAI advirtió que el implante funciona como una aplicación del sistema firmada con la clave del fabricante, de modo que el dueño no puede quitarlo por su cuenta. La empresa recomendó evitar cajas de televisión sin marca o sin certificación de Android, y las aplicaciones que pagan por compartir ancho de banda.

Google admitió una falla propia. Los aparatos se vendían como dispositivos “certificados” de Android, pero Videostrong usó técnicas de ocultamiento para que el código malicioso se cargara solo después del primer arranque, y así pasó las pruebas. La compañía dijo que ya modificó su proceso de revisión.

Con el corte de los dominios de control de otras familias de programas maliciosos, Google estima que quedó sin acceso a al menos 10 millones de aparatos adicionales. Incluyen cajas de televisión de venta minorista, máquinas de karaoke y equipos de telesalud, y no todos funcionan con Android.

TrendAI advirtió que una operación de este tipo encarece el negocio de los atacantes, pero no lo elimina: grupos similares ya reconstruyeron su infraestructura en el pasado.