Techinfo
El 3 de noviembre de 2026, Google anunció el desmantelamiento de XCPE, una botnet que se ocultaba en el firmware de más de 1,3 millones de dispositivos Android. Esta red, que se centraba en descodificadores de televisión, fue desactivada tras la caída de sus servidores de control a finales de octubre de 2026. La información fue revelada por el Grupo de Inteligencia de Amenazas de Google y fue cubierta por medios como The Hacker News y Help Net Security. A diferencia de la conocida botnet BadBox, XCPE es una red más pequeña, pero con un agravante significativo: el propio fabricante, Videostrong, estaba vendiendo el acceso a estos dispositivos comprometidos.
XCPE se caracterizaba por una puerta trasera que venía preinstalada en los dispositivos, permitiendo que fueran controlados por delincuentes. Según Google, el componente principal operaba con privilegios de sistema, se reinstalaba automáticamente después de reiniciar el equipo desde una partición protegida y desactivaba las verificaciones de Google Play Protect, lo que permitía la instalación silenciosa de software malicioso. Con este control, los atacantes podían instalar aplicaciones, ejecutar comandos, capturar la pantalla, registrar pulsaciones de teclado y acceder de forma remota a los dispositivos.
El modelo de negocio de XCPE se basaba en la reventa del acceso a estos dispositivos. La mayoría de los módulos convertían los dispositivos en proxies residenciales o revendían su ancho de banda, haciendo que el tráfico de los atacantes pareciera provenir de conexiones domésticas normales. Otros módulos estaban diseñados para falsear las visualizaciones de anuncios. La firma TrendAI reportó que entre junio y octubre de 2026, se identificaron 1.472.554 dispositivos infectados en 206 modelos, siendo Malasia, Brasil, Irak, México y Taiwán los países más afectados.
En respuesta a esta amenaza, Google ha tomado medidas legales para desmantelar la infraestructura de la botnet, expulsando a Videostrong del programa de Android certificado. Utilizando acciones legales, Google logró derribar los dominios y servidores que controlaban XCPE, así como los de más de una docena de familias de malware asociadas. Esta operación se llevó a cabo con la colaboración de la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI.
La acusación de Google es contundente. La compañía sostiene que tiene una alta confianza en que Videostrong, una empresa ubicada en Shenzhen, introdujo intencionadamente una puerta trasera en sus dispositivos, descartando la posibilidad de que se trate de un error de un empleado o de una falla accidental. Como consecuencia de esta situación, Google ha decidido vetar a Videostrong y a cualquier futura filial de la empresa, prohibiéndoles la fabricación o venta de dispositivos Android certificados, así como el suministro de software a fabricantes que cuenten con dicha certificación. Según la información proporcionada por Google, Videostrong ocultó su código malicioso para eludir las pruebas de compatibilidad y seguridad, cargando el código dañino después del primer arranque del dispositivo; la compañía ha revisado este proceso. En este contexto, los usuarios se encuentran en una situación complicada, ya que el problema se origina en la fábrica y no se debe a una configuración incorrecta que se pueda ajustar en los parámetros de desarrollador de Android, los cuales se recomienda mantener desactivados.
El impacto de esta situación afecta principalmente a los descodificadores de televisión de bajo costo, aunque también se ha identificado en otros dispositivos conectados. Google ha detectado la presencia de XCPE en equipos de telesalud, máquinas de karaoke y pantallas de señalización digital. Un aspecto relevante es que Plume encontró dispositivos tanto certificados por Google como aquellos que operan con la versión libre de Android (AOSP), aunque Google no ha especificado cuántos de los dispositivos certificados se vieron involucrados. Para poner en perspectiva, más de 10 millones de dispositivos de BadBox 2.0, en 2025, eran todos no certificados. Sin embargo, eliminar XCPE no es suficiente, ya que este se reinstala al reiniciar el dispositivo. Según TrendAI, para limpiar el sistema es necesaria una actualización por parte del fabricante, implementar una protección de plataforma o, en última instancia, reemplazar el dispositivo. Esta situación refleja una lección importante que se deriva de la experiencia con stalkerware y otras aplicaciones espía difíciles de desinstalar: cuando el malware se encuentra profundamente arraigado en el sistema, el usuario tiene escasas opciones para resolver el problema por su cuenta.
La gravedad del caso de XCPE no radica tanto en la cantidad de dispositivos afectados, que es diez veces inferior a la de BadBox, sino en la identidad del responsable. Google ha señalado a un fabricante como el encargado de implementar una puerta trasera en sus propios productos, en lugar de ser un tercero que infecta dispositivos ajenos. Esto transforma la naturaleza del problema, ya que no se trata de un malware que se infiltra, sino de un producto diseñado desde su concepción para espiar y revender la conexión del usuario.
La decisión de Google de vetar a Videostrong es drástica, pero se produce después de que se hayan vendido 1,3 millones de dispositivos. Esto plantea un desafío, ya que no es factible realizar un retiro casa por casa de estos aparatos. Para los consumidores, la única defensa efectiva es ser cautelosos al adquirir descodificadores de marcas desconocidas y sin certificación, sin importar cuán atractivos sean sus precios. En este contexto, lo que parece una oferta económica puede traducirse en un costo elevado en términos de ancho de banda y privacidad. Antes de decidirse por la compra de uno de estos dispositivos, es fundamental comprender los riesgos asociados a la instalación de software que no proviene de canales oficiales.
Fuente original: WWWhat's New.
