🛡 MALWARE 🛡

Google desmantela una masiva botnet oculta en cajas Android TV

⏰4 de noviembre de 2026🛡CyberObservatorio

Idioma

◢ MALWARE ◣

Google desmantela una masiva botnet oculta en cajas Android TV

⟫ 03/11/2026 ⟫ The Record

Fuente: The Record

**Desmantelamiento de la Botnet X.CPE: Un Asalto Global a la Ciberseguridad**

En un reciente operativo conjunto, Google, junto con varias empresas de ciberseguridad y las fuerzas del orden japonesas, ha logrado desmantelar una botnet global conocida como X.CPE, que había infiltrado más de 1,3 millones de set-top boxes en más de 200 países. Este incidente resalta no solo la vulnerabilidad de dispositivos aparentemente inofensivos, sino también la creciente sofisticación de las amenazas cibernéticas en un mundo cada vez más interconectado. La magnitud del problema afecta directamente a millones de usuarios y empresas que, sin su conocimiento, podrían haber estado facilitando actividades delictivas.

Las investigaciones iniciales han vinculado esta botnet a Videostrong Technology, una empresa china que se ha dedicado a la fabricación de dispositivos originales para Android, abarcando desde pantallas y altavoces hasta robots. La mayoría de los dispositivos infectados pertenecen a la categoría de set-top boxes de Android TV, aunque también se ha identificado la presencia de otros dispositivos de IoT basados en Android, como equipos de telemedicina, máquinas de karaoke y dispositivos de señalización digital.

De acuerdo con los informes extensos emitidos por Google y otras entidades de ciberseguridad, se acusó a Videostrong de monetizar un acceso ilícito a estos dispositivos mediante la “venta de acceso a afiliados criminales y la carga de módulos de malware de dichos afiliados en los dispositivos infectados”. Este hallazgo es alarmante, ya que implica una coordinación más allá de un simple error de desarrollo o un insider deshonesto. Google ha decidido cortar lazos con Videostrong, prohibiéndole la fabricación de dispositivos con aplicaciones de Google precargadas.

En cuanto al funcionamiento de la botnet, se ha revelado que Videostrong estaba utilizando los dispositivos infectados para crear una red de proxies residenciales, además de cargar otros tipos de malware en los dispositivos comprometidos por X.CPE. Esta botnet generaba ingresos mediante la reventa de ancho de banda, extracción de datos, fraude publicitario y la instalación de aplicaciones de pago. El software malicioso permitía que el tráfico de terceros pasara a través de la conexión a internet de un usuario, utilizando su dirección IP y ancho de banda, sin que este lo supiera.

El malware X.CPE estaba incrustado en el firmware de los dispositivos incluso antes de llegar a las manos del consumidor, diseñado para evadir chequeos de seguridad. Se ha reportado que Videostrong continuó actualizando el malware hasta en los años 2024 y 2026, lo que indica una estrategia de evasión de detección bien planificada y sostenida en el tiempo. Google, en colaboración con la policía japonesa y las empresas de ciberseguridad TrendAI, Human y Synthient, logró interrumpir los dominios que sustentaban esta botnet, lo que representa un golpe significativo a la infraestructura del cibercrimen.

Robert McArdle, director de investigación sobre cibercrimen en TrendAI, subrayó la gravedad de la situación: "Identificamos más de 1,3 millones de dispositivos afectados por esta campaña. Eso representa millones de hogares y negocios completamente ajenos a que su equipo estaba siendo utilizado como un accesorio en actividades delictivas activas". Este fenómeno pone de manifiesto la falta de conciencia de los usuarios sobre la seguridad de los dispositivos que utilizan en su vida diaria.

Las técnicas de ofuscación utilizadas por Videostrong para burlar las pruebas de seguridad son preocupantes. Google ha prometido revisar su proceso de verificación para evitar que futuros fabricantes realicen campañas similares. Además, ha tomado acciones legales para desmantelar los dominios que Videostrong utilizaba para controlar la botnet y cargar el malware, así como para destruir los dominios asociados a otras familias de malware que también estaban instalados en los dispositivos.

Sin embargo, los investigadores de ciberseguridad advierten que incluso si un usuario intenta desinstalar el malware, este se reinstala automáticamente, lo que pone en evidencia la robustez del backdoor. Este software malicioso puede descargar y ejecutar archivos adicionales sin el consentimiento del usuario, lo que plantea serias preocupaciones sobre la privacidad y la seguridad de los datos personales.

A pesar de la magnitud de la amenaza, Google no ha aclarado si los clientes con dispositivos infectados serán notificados o si se implementarán esfuerzos para eliminar de forma forzada el malware de los dispositivos comprometidos, algo que las agencias de seguridad de Estados Unidos han hecho en incidentes similares. Charley Snyder, jefe de operaciones de desmantelamiento en el grupo de inteligencia sobre amenazas de Google, mencionó que sus acciones habían cortado las comunicaciones de la botnet, "lo que efectivamente hace que el malware sea inofensivo".

Se estima que el desmantelamiento de los dominios de comando y control de los afiliados criminales de Videostrong podría haber interrumpido el acceso de los cibercriminales a otros 10 millones de dispositivos comprometidos, muchos de los cuales no son dispositivos Android. A raíz de estos eventos, Google ha prohibido a Videostrong y a cualquier futura filial la venta de dispositivos Android o el suministro de software a proveedores certificados.

Este caso subraya un cambio en la estrategia de las grandes empresas tecnológicas, que cada vez más recurren a órdenes judiciales para desmantelar herramientas o servicios maliciosos que amenazan a sus usuarios. En un año marcado por la lucha contra el cibercrimen, Microsoft también ha utilizado esta vía legal para desmantelar plataformas de phishing y herramientas de IA maliciosas, evidenciando una tendencia creciente en el sector hacia la protección activa de los usuarios frente a un panorama de amenazas en constante evolución.

El desmantelamiento de la botnet X.CPE no solo representa un éxito en la lucha contra el cibercrimen, sino que también sirve como un recordatorio de la necesidad imperiosa de una mayor concienciación y medidas de seguridad más robustas en todos los niveles de la industria tecnológica.

◢ MALWARE ◣

Google dismantles massive botnet hidden in Android TV boxes

⟫ 03/11/2026 ⟫ The Record

Source: The Record

Google along with several cybersecurity companies and Japanese law enforcement dismantled a global botnet called X.CPE that was hidden in more than 1.3 million set-top boxes across more than 200 countries. Googlesaidit tied the scheme to Videostrong Technology, a Chinese company that was an Android original equipment manufacturer producing a range of screens, speakers and robots. The overwhelming majority of the infected devices in the X.CPE botnet are Android TV set-top boxes, Google said, adding that they observed a number of other infected Android-based IoT devices, including telehealth devices, karaoke machines and digital signage devices. Inlengthy reportsabout the scheme, Google andother cyber investigatorsaccused Videostrong of monetizing the backdoor by “selling access to criminal affiliates and loading those affiliates’ malware modules onto infected devices.” “We found this malicious software built directly into many different device models and brands over multiple years, supported by dedicated infrastructure and constantly evolving configurations to evade detection and manage their affiliates,” Google said. “We believe this campaign wasn’t an isolated rogue insider or a development oversight. As a result, Google has cut ties with Videostrong and banned them from making devices with preloaded Google apps.” Videostrong did not respond to requests for comment. The company says it has worked as an original equipment manufacturer for more than 14 years and sells a variety of AI-backed devices. Google said Videostrong was allegedly turning infected devices into a residential proxy network and loading other types of malware onto X.CPE-compromised devices. The botnet generated revenue from the devices by reselling bandwidth, data exfiltration, delivering video content, ad fraud, loading additional backdoors and installing apps for payment. The software allowed third-party traffic to pass through a person’s internet connection, using their internet address and bandwidth. X.CPE was embedded in the device’s firmware before it even reached a person’s home and was built to evade security checks. Videostrong allegedly continued to change the malware used, updating it in 2024 and 2026. Google worked with Japanese police, as well as cybersecurity firms TrendAI, Human and Synthient, to disrupt the domains that underpinned the botnet. “Our research identified over 1.3 million devices affected by this campaign,” said Robert McArdle, director of cybercrime research at TrendAI. “That's millions of households and businesses completely unaware that their equipment was being used as an accessory in active criminality — whether defrauding advertisers or piggybacking on their connections to carry out other attacks via residential proxies — which would commonly include identity theft impersonating people in their region.” According to Google, Videostrong used “obfuscation techniques” to pass its security tests and load the malware onto the devices. Google pledged to change its review process to stop future manufacturers from conducting similar campaigns. Google said it took legal action to take down the domains Videostrong used to control the botnet and install the malware while also suing to destroy the domains used by other malware families loaded onto the devices. But they noted that even if a user tried to uninstall the malware, it would automatically reinstall, according to cybersecurity researchers. The backdoor was able to silently download other files onto the device and execute them without user consent. Google did not explain if customers with infected devices will be notified or if there is any effort to forcibly remove malware from compromised devices as U.S. law enforcement agencieshave donein othersimilar botnet cases. In response to questions about removing the malware, Charley Snyder, head of disruption operations at Google Threat Intelligence Group, told Recorded Future News that their actions severed the domains the botnet was communicating with, “effectively rendering the malware benign." Google claimed the takedown of command and control domains of Videostrong's criminal affiliates may have also cut off cybercriminal access to an additional 10 million compromised devices — many of which are not Android devices. Videostrong and any future subsidiaries are now banned from selling Android devices or supplying software to certified vendors, Google said. “The x.cpe network was built for ongoing profit. By giving malware affiliates backdoor access, the operators conspired to monetize these devices long after purchase,” Google said. “Since at least late 2024, Videostrong has evolved its pre-installed malware from simple single-stage droppers into a modular, three-stage architecture designed for resilience and multi-tenant monetization.” Tech companies like Google have increasingly turned to court orders to take down malicious tools or services used to target their customers. Microsoft used court orders multiple times this year to destroyphishing platforms,malicious AI tools, andcybercrime-as-a-service infrastructure. is a Breaking News Reporter at Recorded Future News. Jonathan has worked across the globe as a journalist since 2014. Before moving back to New York City, he worked for news outlets in South Africa, Jordan and Cambodia. He previously covered cybersecurity at ZDNet and TechRepublic.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD