Por Canuto  

Una operación coordinada con la Policía Nacional de Japón desmanteló a XCPE, una botnet que habría infectado más de 1,3 millones de dispositivos Android. Google atribuye la puerta trasera a Videostrong Technology y afirma que la red permitía a afiliados criminales aprovechar conexiones domésticas sin que sus usuarios lo supieran.
***

  • Google sostuvo que Videostrong Technology integró XCPE deliberadamente en el firmware de sus dispositivos y vendió acceso a afiliados criminales.
  • TrendAI registró más de 3,8 millones de direcciones IP domésticas y móviles distintas vinculadas a la operación entre junio y octubre.
  • La coalición perturbó dominios de comando y control; Google estimó que la acción cortaría el acceso a al menos 10 millones de dispositivos comprometidos adicionales.

 

Una red global oculta en equipos domésticos

Una coalición de empresas de seguridad, en colaboración con la Agencia Nacional de Policía de Japón, desmanteló XCPE, una puerta trasera asociada a una botnet de más de 1,3 millones de dispositivos Android. La red alcanzó equipos en más de 200 países y utilizaba conexiones a internet de hogares y usuarios móviles para canalizar tráfico sin que sus propietarios lo supieran. Google, Lumen, Human Security, Plume, Synthient y TrendAI participaron en la operación.

El Grupo de Inteligencia de Amenazas de Google (GTIG) atribuyó con alta confianza el desarrollo, despliegue y operación de XCPE a Videostrong Technology, fabricante de hardware con sede en Shenzhen, China. La empresa produce dispositivos Android, entre ellos cajas de televisión para el hogar y proyectores, según la información difundida por Google. La atribución describe la evaluación de la compañía, no una conclusión judicial mencionada en el reporte.

Según GTIG, Videostrong incorporó intencionalmente la puerta trasera al firmware de sus dispositivos y vendió acceso a afiliados criminales. Ese acceso permitía a terceros instalar módulos de malware adicionales en equipos que los compradores conectaban a sus redes domésticas, ampliando las capacidades de la operación más allá del programa preinstalado. Los clientes, de acuerdo con la descripción, no necesariamente tenían conocimiento de que sus aparatos podían quedar bajo control remoto.

La función central de la red consistía en convertir dispositivos cotidianos en puntos de salida para tráfico de terceros. Al aprovechar la conexión doméstica del usuario, los operadores podían construir redes proxy y ocultar el origen de actividad maliciosa detrás de direcciones IP legítimas, según Google. Esto no significa que cada dispositivo tuviera idéntico uso o que todos los propietarios sufrieran el mismo impacto, pero sí que la puerta trasera ofrecía una vía para explotar sus conexiones.

Control remoto desde el firmware

TrendAI describió el agente de gestión incluido en el firmware como un programa que aparentaba ser un cliente estándar de administración remota. Esa apariencia podía hacer que su presencia pasara inadvertida frente a la función esperada de un dispositivo conectado, aunque el reporte no detalla cómo cada comprador podía identificarlo. El agente obtenía actualizaciones desde una página de GitHub y se comunicaba con un servidor MQTT.

MQTT, sigla de Message Queuing Telemetry Transport, es un protocolo de mensajería utilizado para intercambiar información entre dispositivos y servicios conectados. En este caso, según TrendAI, la conexión con el servidor daba al operador control remoto de las cajas infectadas. La capacidad no se limitaba a recibir instrucciones simples: el sistema también servía para administrar aplicaciones y modificar parámetros del equipo, según la descripción técnica publicada.

Entre las acciones que permitía ese control estaban instalar y desinstalar aplicaciones, cambiar configuraciones y enviar actualizaciones a los dispositivos. La gestión centralizada facilitaba que los operadores mantuvieran o alteraran el software sin tener acceso físico a cada caja de televisión o proyector. También abría la puerta a que los afiliados agregaran sus propios módulos maliciosos, una característica que conectaba el acceso inicial de XCPE con actividades de terceros.

La cadena de suministro resulta relevante porque la puerta trasera, según Google, no dependía de que cada usuario descargara por separado una aplicación sospechosa. La presencia de XCPE en el firmware situaba el riesgo en una fase anterior al uso cotidiano del aparato, aunque la fuente no identifica modelos específicos ni ofrece una lista completa de dispositivos afectados. El reporte tampoco cuantifica cuántos equipos seguían activos cuando la coalición intervino.

Alcance medido y dominios perturbados

TrendAI documentó más de 3,8 millones de direcciones IP domésticas y móviles distintas conectadas a la operación entre el 3 de junio y el 1 de octubre. Esa cifra mide direcciones observadas, no equivale a 3,8 millones de dispositivos infectados ni permite determinar cuántas personas estuvieron detrás de ellas. Una misma IP puede no representar siempre un único equipo, por lo que conviene distinguir este registro de la estimación de más de 1,3 millones de dispositivos Android en la botnet.

La coalición también perturbó dominios de comando y control utilizados para administrar los módulos de los afiliados. Estos dominios funcionaban como parte de la infraestructura mediante la cual los operadores podían comunicarse con componentes maliciosos y coordinar su actividad. Google señaló que los afiliados contaban con canales de distribución diversificados para sus módulos, además de XCPE, una particularidad que complica evaluar el alcance total de la intervención.

Por esa infraestructura adicional, GTIG estimó que la perturbación de los dominios de comando y control cortaría el acceso a al menos 10 millones de dispositivos comprometidos adicionales. La cifra se refiere a la evaluación de Google sobre equipos vinculados a los afiliados, no a una cantidad de dispositivos que el comunicado confirme como desinfectados o recuperados. La distinción importa: interrumpir servidores puede limitar el control de una red sin demostrar por sí solo que cada aparato afectado quedó limpio.

El caso muestra por qué las métricas de una operación de ciberseguridad pueden describir fenómenos diferentes: aparatos infectados, direcciones IP observadas y dispositivos potencialmente alcanzados por otras redes criminales. XCPE superó los 1,3 millones de equipos Android según la estimación reportada, mientras que el monitoreo de TrendAI registró más de 3,8 millones de IP únicas en un periodo determinado. Google, por su parte, calculó un posible efecto adicional sobre al menos 10 millones de dispositivos.

Respuesta de Google y antecedentes de BadBox

Google informó que cortó sus relaciones con Videostrong y prohibió que el fabricante produjera dispositivos con aplicaciones de Google preinstaladas. La medida afecta la posibilidad de que el OEM incorpore ese software en sus productos, pero la información disponible no detalla el alcance comercial de la decisión ni menciona modelos concretos. Videostrong no respondió de inmediato a las consultas de The Register, según el reporte.

XCPE forma parte del mismo ecosistema que BadBox 2.0, otra botnet que infectó más de 10 millones de cajas de televisión y otros dispositivos antes de que Human, Google y TrendAI perturbaran la operación en marzo de 2025. La relación señalada sitúa a XCPE dentro de un problema más amplio de dispositivos conectados comprometidos, aunque la fuente no afirma que ambas redes fueran idénticas ni que compartieran todos sus operadores. La comparación sirve como antecedente, no como prueba de que cada caja afectada por una botnet también estuviera en la otra.

La intervención reunió a compañías privadas y a la policía japonesa para actuar sobre una red distribuida internacionalmente. La fuente no indica que la operación haya incluido arrestos, por lo que el resultado descrito es la perturbación de la botnet y de parte de su infraestructura de control. Tampoco precisa cuántos dominios quedaron fuera de servicio ni cuántos equipos dejaron de conectarse tras la acción coordinada.

Para los usuarios, el caso subraya que un aparato conectado puede convertirse en parte de una red de terceros cuando su firmware incluye capacidades ocultas de administración. La información publicada no ofrece instrucciones específicas para comprobar si un modelo determinado fue afectado, ni una lista de fabricantes o dispositivos comprometidos. Por ahora, el alcance informado depende de las cifras y atribuciones presentadas por las empresas participantes, mientras Google sostiene que la respuesta también debilitó infraestructura vinculada a otros equipos.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados