Google desmantela una botnet de Android de 1,3 millones de dispositivos: Videostrong, vetada para certificarse
Google ha emprendido acciones legales para hacerse con la infraestructura de mando y control detrás de x.cpe, una puerta trasera preinstalada en el firmware de Android que TrendAI contabilizó en 1.472.554 dispositivos entre el 3 de junio y el 1 de octubre de 2026. La cifra abarca 206 modelos, en su mayoría decodificadores Android TV, y Google la describe como un mínimo, no como un techo. En su propio análisis, la compañía afirma que cortar los servidores de los afiliados de la botnet también debería desconectar al menos otros 10 millones de dispositivos comprometidos, porque los mismos grupos criminales distribuyen malware por otras vías.
Qué podía hacer la puerta trasera
x.cpe, también rastreada como com.oemservice, se ejecuta como aplicación de sistema con privilegios de android.uid.system. Está integrada en la imagen de firmware y no se instala después, así que un restablecimiento de fábrica no la elimina: el paquete se restaura desde la partición /oem/ al reiniciar. Según el equipo de inteligencia de amenazas de Google, el implante desactiva la verificación de aplicaciones de Play Protect fijando package_verifier_user_consent en -1 y después abre un canal MQTT persistente con sus operadores. El análisis de TrendAI, resumido en The Hacker News, describe un diseño en dos etapas en el que una petición HTTP de arranque entrega al dispositivo su servidor de comandos.- Instalación y desinstalación silenciosa de aplicaciones
- Ejecución arbitraria de comandos de shell, incluidas shells inversas
- Captura de pantalla e inyección de pulsaciones
- Recogida de datos de cuentas, listas de aplicaciones instaladas y registros del sistema
- Reconocimiento de red de la subred local
- Reinstalación tras el reinicio desde la partición de firmware
Los proxies residenciales eran el producto
La mayoría de los módulos de monetización convertían el hardware infectado en nodos de salida de proxy residencial o vendían ancho de banda sobrante. El informe de Google cita SDK de proxy como Linkfog, Jaguar, AppSalt, BWM, GaGaNode, NetNut y Traffmonetizer, y señala que un solo dispositivo podía ejecutar hasta tres a la vez. Otros módulos, rastreados como Spirit, Moyu, Bird, Fission y HiddenView, generaban impresiones publicitarias falsas. Una red de proxy residencial vale tanto como la diversidad y reputación de sus IP de salida, y los dispositivos domésticos ofrecen exactamente eso: direcciones que parecen de abonados de banda ancha normales y no de rangos de centro de datos. Quien compra esa capacidad la usa para enrutar raspado, credential stuffing y fraude que de otro modo se bloquearía. Cuando el nodo de salida es un decodificador en el salón de alguien, el tráfico se atribuye a la conexión de ese hogar.Un fabricante que infecta deliberadamente a sus usuarios con malware comete una violación inaceptable de la confianza y representa un riesgo grave para esas personas. - GooglePara quien trata la identidad de red como una cuestión operativa, la lección es que un electrodoméstico comprometido puede poner en tu línea tráfico que no generaste. El mismo razonamiento se aplica al hardware con el que accedes a Tor o gestionas algo sensible; la lista general está en nuestra guía de seguridad del dispositivo antes de Tor.
Atribución: un documento firmado y una IP compartida
Google se declara muy seguro de que Videostrong Technology, con sede en Shenzhen, desarrolló, desplegó y operó la puerta trasera de forma deliberada, y vendió el acceso a afiliados criminales. Las pruebas incluyen un documento firmado por el director de I+D de Videostrong hallado en un servidor de la botnet, un dominio de Videostrong que resuelve a la misma IP que el panel de control de los operadores, una cuenta de GitHub llamada yf-videostrong usada para alojar versiones y x.cpe pasando ajustes del servidor de comandos a otras apps de Videostrong como YokaTV Player. Charley Snyder, de Google, dijo a CyberScoop que los operadores cambiaban configuraciones constantemente para evadir la detección previa y posterior al lanzamiento. Synthient, uno de los socios de la operación, llegó a la misma conclusión por su cuenta. Compró una unidad comercial MECOOL KM9PRO Max y encontró la puerta trasera preinstalada; después publicó una lista de 182 nombres de modelos observados en la campaña, con la advertencia de que un nombre de modelo no demuestra por sí solo que una unidad esté infectada. Plume, que provee software de gestión de routers y dispositivos, encontró más de una docena de tipos de dispositivo hablando con el servidor de control de la botnet, en su mayoría de marca MECOOL.El desmantelamiento y lo que deja atrás
La operación, llevada a cabo con la Agencia Nacional de Policía de Japón y apoyada por Lumen, HUMAN Security, Plume, Synthient y TrendAI, tumbó los dominios y servidores de control de Videostrong, además de dominios de mando y control de más de una docena de familias de malware cargadas por la puerta trasera. Google también prohibió a Videostrong y a futuras filiales fabricar o vender dispositivos Android certificados o suministrar software a otros fabricantes certificados. The Register informa de que la compañía ha roto relaciones con el proveedor; Videostrong no respondió a las peticiones de comentario. Google dice haber reforzado la verificación de integridad del firmware en dispositivos Android TV certificados y cambiado su proceso de revisión, pero el problema estructural sigue. La certificación prueba un dispositivo antes de que salga de fábrica; el código malicioso se cargó tras el primer arranque, justo la ventana que esas pruebas no cubren. Los equipos ya desplegados conservan el implante hasta que se sustituya el firmware, y para TrendAI la remediación exige acción del fabricante, protección de la plataforma o cambiar el aparato.Pasos prácticos para propietarios y compradores
- Trata cualquier modelo de la lista publicada por Synthient como de alto riesgo; aíslalo de las redes de confianza o sustitúyelo.
- Bloquea en el router o el resolutor DNS los dominios de arranque y MQTT documentados.
- Pon televisores, decodificadores y electrodomésticos inteligentes en una VLAN o red de invitados separada sin ruta a las interfaces de gestión.
- Desconfía de las apps que pagan por ancho de banda sin usar o por compartir tu internet; Google señala la inscripción silenciosa y sin consentimiento como la vía más común hacia las redes de proxy.
- Mantén Play Protect activado y prefiere dispositivos de fabricantes de la lista de socios certificados de Android TV.