Google desmantela una botnet global que operaba en dispositivos Android certificados.

⟫ 02/11/2026 ⟫ Matt Kapko

Fuente: CyberScoop

**Desmantelamiento de una Botnet Global en Dispositivos Android: Un Caso de Ciberseguridad en la Era de la Ilegalidad Digital**

En un contexto donde la ciberseguridad se convierte en una preocupación primordial para usuarios y empresas, Google, junto a un conjunto de socios, ha logrado desmantelar una botnet que fue intencionadamente desplegada por un fabricante aprobado de dispositivos Android. Esta operación afectó a más de 1,3 millones de set-top boxes, un tipo de dispositivo que se conecta a televisores para acceder a contenido digital. El caso, que revela la vulnerabilidad de los dispositivos conectados y la creciente amenaza del fraude publicitario y la exfiltración de datos, resalta la necesidad urgente de una vigilancia constante en la industria tecnológica.

El fabricante involucrado, Videostrong Technology Co., con sede en China, implantó una puerta trasera en múltiples dispositivos Android que comercializaba. Este acceso no autorizado permitió la creación de XCPE, una botnet de gran envergadura que los cibercriminales utilizaron para llevar a cabo fraudes publicitarios, robar datos y redirigir tráfico malicioso a través de redes proxy residenciales. Según un informe del Google Threat Intelligence Group (GTIG), la situación es un claro ejemplo de cómo las vulnerabilidades de seguridad pueden ser explotadas para fines delictivos en una escala masiva.

En respuesta a esta amenaza, Google tomó medidas legales para desactivar los dominios y servidores que Videostrong usaba para controlar la botnet. La compañía también eliminó dominios de comando y control que más de una docena de familias de malware utilizaban como módulos a través de la puerta trasera XCPE, interrumpiendo el acceso a al menos 10 millones de dispositivos adicionales comprometidos de diversos fabricantes. Este es un recordatorio de que la seguridad en el ecosistema Android debe ser una prioridad continua, dado que los dispositivos se han convertido en objetivos atractivos para los cibercriminales.

Videostrong había estado vendiendo dispositivos Android con malware preinstalado durante años, eludiendo las pruebas de seguridad de Google al cargar el código malicioso después del primer arranque del dispositivo. Charley Snyder, jefe de operaciones de interrupción en GTIG, reveló que los operadores de XCPE evolucionaron constantemente sus configuraciones para evadir las detecciones previas y posteriores al lanzamiento de Google. Sin embargo, Snyder se abstuvo de comentar cuándo o cómo Google tomó conciencia por primera vez de que un proveedor aprobado estaba operando una botnet en dispositivos Android.

El informe de Google destaca que se encontró este software malicioso integrado directamente en muchos modelos y marcas de dispositivos a lo largo de varios años, sustentado por una infraestructura dedicada y configuraciones en constante evolución para evadir la detección y gestionar a sus afiliados. Los investigadores de Google expresaron su creencia de que esta campaña no fue un simple error de desarrollo o un incidente aislado de un insider deshonesto.

Como consecuencia de estos hallazgos, Google ha prohibido a Videostrong y a cualquier futura filial la construcción o venta de dispositivos Android certificados. Además, la compañía ha modificado su proceso de revisión para detectar y detener actividades similares en el futuro. Sin embargo, Snyder advirtió que la empresa no compartirá detalles específicos de estos cambios, con el fin de no proporcionar a los actores maliciosos información que les permita eludir estas nuevas protecciones.

La mayoría de los dispositivos que formaban parte de la botnet XCPE eran set-top boxes Android, pero los investigadores también observaron dispositivos de telemedicina basados en Android, máquinas de karaoke y letreros digitales infectados. "Sin el conocimiento o consentimiento de los usuarios, los dispositivos infectados se ofrecieron como un mecanismo de distribución para una amplia gama de actores criminales", afirmaron los investigadores en el informe. Esto dio lugar a una variedad de actividades maliciosas que se llevaron a cabo a través de estos dispositivos, incluyendo fraudes publicitarios, exfiltración de datos y redirección de tráfico de red malicioso.

La botnet abarcó más de 170 países, siendo Malasia, Brasil, Irak, México y Taiwán los que concentraron la mayor cantidad de dispositivos infectados, según investigadoras de TrendAI. Entre junio y octubre, casi 44,000 dispositivos infectados se encontraban en Estados Unidos.

Google también se asoció con la Agencia Nacional de Policía de Japón, Lumen Technologies, Human Security, Plume y Synthient para estudiar y desarticular la botnet. La compañía destacó que el desmantelamiento de XCPE "impactó seriamente a más de una docena de actores maliciosos", aunque advirtió que el mercado subyacente de puertas traseras, fraude publicitario y redes proxy residenciales sigue siendo resistente y opera como una cadena de suministro interconectada. Este caso no solo revela la complejidad del panorama de amenazas actual, sino que también subraya la importancia de la colaboración entre empresas, gobiernos y organismos de seguridad para abordar los retos de la ciberseguridad en un mundo cada vez más digitalizado.

◢ MALWARE ◣

Google shuts down global botnet running on certified Android devices

⟫ 02/11/2026 ⟫ Matt Kapko

Source: CyberScoop

Google and an assortment of partners shut down a botnet that an approved Android device manufacturer purposefully deployed across more than 1.3 million TV set-top boxes, the company said Monday. Videostrong Technology Co., a China-based Android original equipment and device manufacturer,implanted a backdoor into multiple devicesit sold. Those backdoors established XCPE, an expansive botnet that cybercriminals used to conduct ad fraud, steal data and route malicious traffic through residential proxy networks, according to a Google Threat Intelligence Group report. Google took legal action to shut down the domains and servers Videostrong used to control the botnet. The company also took down command-and-control domains that more than a dozen malware families ran as modules through the XCPE backdoor, claiming it disrupted access to at least 10 million additional compromised devices from various manufacturers. Videostrong sold Android devices with pre-installed malware for years, slipping by Google’s security tests by loading the malicious code after the device’s first boot. “The XCPE operators constantly evolved its configurations to evade Google’s pre and post-launch detections,” Charley Snyder, head of disruption operations at GTIG, told CyberScoop. Snyder declined to say when or how Google first became aware of the approved vendor running a botnet on Android-powered devices. “We found this malicious software built directly into many different device models and brands over multiple years, supported by dedicated infrastructure and constantly evolving configurations to evade detection and manage their affiliates,” Google researchers wrote in the report. “We believe this campaign wasn’t an isolated rogue insider or a development oversight.” Google banned Videostrong and any future subsidiaries from building or selling certified Android devices, and said it changed its review process to detect and stop similar activities in the future. Yet, Snyder said the company isn’t sharing specifics on these changes because it doesn’t want to provide threat actors insights that might help them circumvent these additional protections. Most of the devices comprising the XCPE botnet were Android TV set-top boxes, but researchers also observed infected Android-based telehealth devices, karaoke machines and digital signs. “Without users’ knowledge or consent, infected devices were offered as a distribution mechanism for a wide array of criminal actors,” researchers wrote in the report. “This led to a variety of malicious activities being conducted on and through the devices, including ad-fraud, data exfiltration, and routing malicious network traffic through the devices.” Thebotnet spanned more than 170 countries, with the largest concentration of infected devices based in Malaysia, Brazil, Iraq, Mexico and Taiwan, according to TrendAI researchers. Nearly 44,000 infected devices were based in the United States between June and October. Google also partnered with Japan’s National Police Agency,Lumen Technologies, Human Security,PlumeandSynthientto study and disrupt the botnet. The company said the dismantling of XCPE “seriously impacted over a dozen malicious actors,” yet it warned that the underlying market for backdoors, ad fraud and residential proxy networks are resilient and operating as an interconnected supply chain. The postGoogle shuts down global botnet running on certified Android devicesappeared first onCyberScoop.

← VOLVER A CIBERSEGURIDAD