🛡 MALWARE 🛡

Google desmantela botnet de 1.3 millones de dispositivos Android; fabricante de cajas de TV vendía acceso criminal.

⏰3 de noviembre de 2026🛡CyberObservatorio

Idioma

◢ MALWARE ◣

Google desmantela botnet de 1.3 millones de dispositivos Android; fabricante de cajas de TV vendía acceso criminal.

⟫ 02/11/2026 ⟫ info@thehackernews.com (The Hacker News)

Fuente: The Hacker News

**Desmantelamiento de una Botnet de Más de 1.3 Millones de Dispositivos Android: Implicaciones y Consecuencias**

En un contexto donde la ciberseguridad se convierte cada vez más en una preocupación esencial para usuarios y empresas, el reciente desmantelamiento de una botnet compuesta por más de 1.3 millones de dispositivos Android, predominantemente cajas de televisión, pone de manifiesto los riesgos inherentes a la conectividad en el hogar. Esta operación, liderada por Google a finales de octubre de 2023, revela no solo las vulnerabilidades de ciertos dispositivos, sino también la responsabilidad de los fabricantes en la seguridad de sus productos. Esta situación afecta a millones de usuarios en todo el mundo, quienes sin saberlo, han visto comprometida la integridad de sus redes y la privacidad de sus datos.

Los dispositivos implicados en esta botnet fueron fabricados por Videostrong, una empresa con sede en Shenzhen, China, que produce cajas de Android TV y otros dispositivos tanto bajo su propia marca como para terceros. Según Google, la empresa incluyó intencionadamente una puerta trasera, conocida como x.cpe, en muchos de sus modelos a lo largo de varios años. Este tipo de vulnerabilidad es particularmente peligrosa, ya que permite a los atacantes obtener acceso a los dispositivos y utilizarlos para actividades ilícitas, como el fraude publicitario y el redireccionamiento del tráfico de internet de otros usuarios a través de conexiones domésticas. A pesar de los esfuerzos de Google, la puerta trasera sigue presente en los dispositivos afectados, y los propietarios no pueden eliminarla por sí mismos.

La acción de Google no solo se limitó al desmantelamiento de la botnet, sino que también incluyó medidas legales para eliminar los dominios y servidores que controlaban esta red maliciosa. Junto a Google, colaboraron en la operación diversas organizaciones, incluyendo la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI. A través de este esfuerzo conjunto, se espera que se corte el acceso de los criminales a al menos 10 millones de dispositivos adicionales infectados, dado que estos atacantes suelen diversificar sus métodos de ataque para eludir los controles de seguridad.

La puerta trasera x.cpe opera como una aplicación del sistema dentro del firmware de los dispositivos, brindando acceso a nivel de sistema. Según el análisis de Google, x.cpe se comunica con los servidores de comando y control (C2) de la botnet y espera instrucciones. Para instalar software de manera silenciosa, primero desactiva las verificaciones de aplicaciones en Google Play Protect, la característica de seguridad integrada de Android. Esto permite a los operadores de la botnet instalar aplicaciones sin el conocimiento del propietario, ejecutar comandos, capturar pantallas y mapear la red en la que se encuentra la caja.

Google ha documentado que los operadores de Videostrong utilizaron diversas capacidades de esta puerta trasera, como tomar capturas de pantalla en vivo, enviar pulsaciones de teclado, extraer detalles de cuentas, información del dispositivo, listas de aplicaciones y registros del sistema, así como abrir shells reversos que proporcionan una línea de comandos remota en el dispositivo. La mayoría de los módulos utilizados por los criminales transformaron los dispositivos en proxies residenciales o vendieron su ancho de banda sobrante. Un servicio de proxy residencial permite que el tráfico de un cliente aparente venir de un hogar normal, lo que puede facilitar actividades fraudulentas. Otros módulos se utilizaron para simular visualizaciones de anuncios en línea.

Las investigaciones de TrendAI han registrado un total de 1,472,554 dispositivos infectados en 206 modelos entre el 3 de junio y el 1 de octubre de 2023, indicando que la cifra real podría ser aún mayor. Los países más afectados incluyen Malasia, Brasil, Irak, México y Taiwán, mientras que Estados Unidos, Alemania, Reino Unido, Australia y Canadá presentaron entre 26,000 y 42,000 dispositivos infectados.

Synthient, que se especializa en el seguimiento de redes de proxies y botnets, ha elaborado una lista de 182 modelos de dispositivos identificados en la campaña. Aunque el nombre de un modelo por sí solo no confirma que una caja esté infectada, su estudio se centró en los dispositivos de la marca MECOOL, a los que vincula directamente con Videostrong. Al adquirir un MECOOL KM9PRO Max, descubrieron que la puerta trasera estaba preinstalada. Plume, que desarrolla software de Wi-Fi para proveedores de internet, encontró más de una docena de dispositivos diferentes utilizando el servidor de control de la botnet, siendo la mayoría de ellos de la marca MECOOL.

Dado que x.cpe forma parte del firmware, eliminarla no es una solución viable, ya que se reinstala automáticamente cuando el dispositivo se reinicia. TrendAI sugiere que la eliminación de la puerta trasera requiere "acción por parte del fabricante, protección de la plataforma o sustitución del dispositivo". Por su parte, Plume recomienda realizar un restablecimiento de fábrica completo, aunque no aclara si este proceso elimina la puerta trasera x.cpe. Synthient va más allá, instando a los consumidores a deshacerse de los dispositivos infectados, dado el alto riesgo de malware que representan.

Para las organizaciones, Synthient aconseja implementar ciertas medidas, como utilizar los indicadores publicados para localizar dispositivos MECOOL o similares en la red, desconectar y desechar cualquier dispositivo encontrado, y bloquear los dominios y direcciones IP listados en su informe. Además, se sugiere mantener otros dispositivos inteligentes en segmentos de red separados, alejados de los sistemas sensibles. TrendAI también indica que las empresas con personal remoto deben tratar los dispositivos de consumo no gestionados en redes domésticas como parte de su superficie de ataque, asegurando que el acceso corporativo se mantenga tras dispositivos gestionados.

Desde la perspectiva de Google, x.cpe transmite configuraciones desde el servidor C2 a otras aplicaciones de Videostrong, incluyendo su aplicación de streaming YokaTV Player. Uno de los perfiles de GitHub que albergaba los paquetes de la botnet lleva el nombre de yf-videostrong. Synthient, que colaboró con Google, ha llegado a la conclusión de que Videostrong es responsable de esta operación, apoyándose en un documento firmado por el director de investigación y desarrollo de la empresa, ubicado en una carpeta abierta en uno de los servidores de la botnet, así como en un dominio web de Videostrong que comparte una dirección IP con el panel de control de los operadores.

Se ha descubierto que Videostrong proporciona tanto el firmware para estos dispositivos como herramientas para gestionarlos de manera remota. Google exige a los fabricantes de dispositivos que se sometan a una serie de pruebas de compatibilidad y seguridad, y sostiene que Videostrong ocultó su código para eludir una brecha en esos controles, cargando el código malicioso tras el primer arranque del dispositivo. En respuesta a este incidente, Google ha modificado su proceso de revisión y está mejorando sus controles sobre el firmware de los dispositivos Android TV certificados.

A partir del 2 de noviembre, el sitio web de Videostrong enumeraba productos que denominaba "Google Certified Android TV Box" y "Google Certified Android TV Stick". Plume indica que la botnet incluía tanto dispositivos certificados por Google como otros que operaban con la versión del Proyecto de Código Abierto de Android (AOSP). Sin embargo, el informe de Google no especifica cuántos dispositivos certificados se vieron afectados. Cuando Google demandó en julio de 2025 por la botnet BadBox 2.0, los más de 10 millones de dispositivos involucrados eran no certificados, lo que subraya la importancia de la vigilancia y el cumplimiento normativo en la industria.

Este caso es un recordatorio contundente de que la seguridad en el mundo digital es una responsabilidad compartida entre fabricantes, proveedores de servicios y usuarios finales. La creciente interconexión de dispositivos en el hogar aumenta las posibilidades de explotación, lo que hace imperativo que todas las partes interesadas colaboren para mitigar estos riesgos y proteger la privacidad y seguridad de los usuarios.

◢ MALWARE ◣

Google Disrupts 1.3 Million-Device Android Botnet, Says TV Box Maker Sold Criminal Access

⟫ 02/11/2026 ⟫ info@thehackernews.com (The Hacker News)

Source: The Hacker News

A botnet of more than 1.3 million Android devices, mostly TV set-top boxes, lost control of its servers in late October in a takedown led by Google. Googlesaysit is highly confident that device makerVideostrongintentionally put a backdoor in the boxes and sold access to criminals. They used the boxes for ad fraud and to pass other people's internet traffic through owners' home connections. The backdoor is still on the boxes, and owners cannot remove it themselves. Videostrong, based in Shenzhen, China, makes Android TV boxes and other devices under its own name and for other brands. The backdoor, called x.cpe, was built into many device models and brands over several years. Google does not believe a rogue insider or a mistake was to blame. Google used legal action to take down the domains and servers that controlled the botnet. It also took down the control domains of more than a dozen malware families loaded through the backdoor. Japan's National Police Agency, Lumen, HUMAN Security, Plume, Synthient and TrendAI worked with Google on the operation. Because the criminals behind that malware also spread it in other ways, Google expects the action to cut off their access to at least 10 million more infected devices. It warns that backdoor operators and the criminals who buy from them quickly switch to new tools when one part of their setup is disrupted. Google has cut ties with Videostrong. It banned the company, and any future subsidiaries or affiliates, from building or selling certified Android devices and from supplying software to other certified device makers. The x.cpe backdoor runs as a system app inside the firmware, with system-level access, according to Google's analysis. It reports to the botnet's command-and-control (C2) servers and waits for orders. To install software silently, it first turns off the app checks in Google Play Protect, Android's built-in security feature. Through the backdoor, the botnet's operators could install apps without the owner knowing, run commands, capture the screen and map the network the box sits on. Google says it saw Videostrong's operators use some of these powers. They took live screenshots, sent keystrokes, copied out account details, device information, app lists and system logs, and opened reverse shells, which give a remote command line into the box. Most of the criminals' modules, the add-on programs loaded through the backdoor, turned the boxes into residential proxies or sold their spare bandwidth. A residential proxy service sells access to a home internet connection, so a customer's traffic appears to come from an ordinary household. Other modules faked views of online ads. Most infected devices are Android TV set-top boxes, but the backdoor also turned up on telehealth devices, karaoke machines and digital signage. TrendAI, Trend Micro's enterprise business unit, counted 1,472,554 infected devices across 206 models between June 3 and October 1, and says the real number is at least that high. Malaysia, Brazil, Iraq, Mexico and Taiwan had the most. The U.S., Germany, the U.K., Australia and Canada each had about 26,000 to 42,000. Synthient, which tracks proxy networks and botnets, has publisheda list of 182 device model namesseen in the campaign. The list warns that a model name alone does not confirm that a box is infected. Synthient's report focuses on MECOOL-branded boxes, which it links to Videostrong. It bought a MECOOL KM9PRO Max and found the backdoor preinstalled.Plume, which makes Wi-Fi software for internet providers, found more than a dozen different devices using the botnet's control server, most of them from MECOOL. Because x.cpe is part of the firmware, removing it does not stick. It reinstalls itself when the box restarts. TrendAI says the backdoor runs as a system app signed with the maker's key, so cleanup needs "vendor action, platform protection or replacement of the device." Plume recommends a full factory reset, because the modules may have installed more backdoors, but it does not say whether a reset removes x.cpe itself. Synthient goes further, telling consumers to throw the boxes away for good because they pose a high risk of malware. For organizations, Synthient recommends these steps: Use its published indicators to find MECOOL or similar devices on the network. Disconnect and throw away any that turn up. Block the control domains and IP addresses its report lists. Keep other smart devices on separate network segments, away from sensitive systems. TrendAI advises companies with remote staff to treat unmanaged consumer devices on home networks as part of their attack surface, and to keep corporate access behind managed devices. In Google's account, x.cpe passes settings from the C2 server to other Videostrong apps, including its YokaTV Player streaming app. One of the GitHub accounts that hosted the botnet's packages is named yf-videostrong. Synthient, which worked with Google, also concluded with high confidence that Videostrong runs the operation. It points to a document signed by Videostrong's research and development director in an open folder on one of the botnet's servers, and to a Videostrong web domain that shares an IP address with the operators' control panel. Plume found that Videostrong supplies both the firmware for these devices and tools to manage them remotely. Google requires device makers to go through a set of compatibility and security tests. It says Videostrong hid its code to bypass a gap in those tests and loaded the malicious code after a device's first boot. Google has changed its review process and is improving its checks of the firmware on certified Android TV devices. As of November 2, Videostrong's own website listed products it calls "Google Certified Android TV Box" and "Google Certified Android TV Stick." Plume says the botnet included both Google-certified devices and devices running the Android Open Source Project (AOSP) version. Google's report does not say how many certified devices were affected. When Googlesued over the BadBox 2.0 botnetin July 2025, the more than 10 million devices involved were uncertified.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD