La botnet XCPE infectó 1,3 millones de aparatos Android, casi todos ellos TV boxes, mediante un backdoor que el fabricante chino Videostrong preinstaló en fábrica. Google lo ha desvelado esta semana tras una operación conjunta con socios en cinco países.
El backdoor que despertaba en el salón: así se coló Videostrong en la cadena de Android
Le pongo en contexto. Videostrong Technology Co. es un fabricante chino de equipos Android, OEM y ODM, que hasta esta semana figuraba en la lista de proveedores homologados por Google. Sus aparatos pasaban la certificación porque el código no se activaba en fábrica: se cargaba después del primer arranque, cuando el usuario ya tenía el aparato instalado en el salón. Eso no es un descuido de producción. Es tradecraft de cadena de suministro.
El informe del Google Threat Intelligence Group (GTIG) descarta la tesis del empleado corrupto. ‘Encontramos este software malicioso integrado directamente en muchos modelos y marcas distintas a lo largo de varios años, con infraestructura dedicada y configuraciones en evolución constante para evadir la detección’, escriben los investigadores. La campaña no fue un insider aislado ni un error de desarrollo, concluyen.
Charley Snyder, jefe de operaciones de disrupción de GTIG, añadió a CyberScoop que ‘los operadores de XCPE evolucionaban constantemente sus configuraciones para evadir las detecciones de Google antes y después del lanzamiento’. Snyder no quiso precisar cuándo ni cómo detectaron que un socio homologado operaba una botnet sobre dispositivos certificados. Ese silencio, por mi experiencia en el oficio, equivale a admitir que el agujero pudo durar años.
La respuesta ha sido doble. Legal, con acciones contra los dominios y servidores desde los que Videostrong controlaba la red. Y técnica, con la caída de los dominios de mando y control (C2) que más de una docena de familias de malware usaban como módulos colgados del backdoor. Google cifra en diez millones los dispositivos adicionales liberados, todos de otros fabricantes.
El mapa ayuda a dimensionar el problema: más de 170 países afectados, con la mayor concentración en Malasia, Brasil, Irak, México, y Taiwán, según los investigadores de TrendAI. Solo en Estados Unidos se contabilizaron cerca de 44.000 equipos infectados entre junio y octubre. Y no todo eran televisiones: aparecieron equipos de telesalud, máquinas de karaoke y cartelería digital.
Un fabricante homologado no necesita forzar ninguna cerradura: basta con que la puerta venga abierta de fábrica y con que nadie mire dentro hasta años después.
El uso era triple: fraude publicitario, exfiltración de datos y enrutamiento de tráfico malicioso a través de redes de proxy residencial. El aparato del salón se convertía en la puerta de entrada anónima de terceros, sin que su dueño notara absolutamente nada. Le adelanto que este es el modelo de negocio criminal que más está creciendo en los últimos tres años.
Del TV box al proxy residencial: el negocio que sobrevive a cada desmantelamiento
XCPE no era un malware monolítico. Era una plataforma. El backdoor abría la puerta y encima se enchufaban módulos de más de una docena de familias distintas, operadas por afiliados diferentes. Unos cobraban por impresiones publicitarias falsas. Otros, por prestar la IP doméstica de la víctima como proxy residencial a quien necesitaba tráfico limpio.
El proxy residencial es la parte más rentable del negocio y la que menos titulares genera. Una IP doméstica en Malasia o en Brasil vale dinero porque no levanta sospechas en los controles antifraude de bancos, plataformas y comercios. Diez mil televisores encendidos en casas particulares equivalen, para efectos prácticos, a diez mil identidades digitales con historial impecable.
Google advierte de que el mercado subyacente sigue en pie. Backdoors, fraude publicitario y redes de proxy operan como una cadena de suministro interconectada y resistente a los golpes. He seguido durante años estos relevos: cada vez que cae un proveedor aparecen dos reciclados en menos de un trimestre. Desmantelar un nodo no desmonta la industria.
Si usted ha seguido los grandes golpes de la ciberguerra, el guion le resultará familiar. El precedente más caro de la historia reciente del oficio es SolarWinds. En 2020, el SVR comprometió la cadena de compilación de un proveedor de software de monitorización y distribuyó una puerta trasera firmada a 18.000 clientes, entre ellos varias agencias federales estadounidenses. NotPetya, en 2017, entró por M.E.Doc, un programa de contabilidad fiscal usado por media Ucrania. La lección es la misma que ahora ilustra Videostrong: el eslabón débil nunca es el objetivo final, sino el proveedor del que todos se fían.
La diferencia con XCPE está en quién ocupa el mando. En SolarWinds y en NotPetya había servicios de inteligencia con nombre, apellidos y atribución técnica cruzada. Aquí, por lo que se sabe, hay delincuencia organizada con infraestructura empresarial.
España no aparece en la lista de países con mayor concentración, pero el parque de TV boxes en bares, hoteles y viviendas vacacionales es enorme y opaco. Lo veo como el punto ciego de toda esta arquitectura: la seguridad se audita en el servidor y se descuida en el mando a distancia.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza. Ciberataque por infiltración en la cadena de suministro: backdoor preinstalado en dispositivos Android certificados, con módulos de malware enchufables y uso final de fraude publicitario, exfiltración y proxy residencial. No hay explotación de zero-day. No hace falta: la puerta la pone el fabricante.
Agencias implicadas. En el lado atacante, Videostrong Technology Co. como proveedor del canal y los operadores criminales afiliados a XCPE, sin atribución estatal acreditada hasta la fecha. En el defensivo, el Google Threat Intelligence Group con Lumen Technologies, Human Security, Plume, Synthient y la Agencia Nacional de Policía de Japón. En el tercer círculo, los fabricantes de televisores que revendían los equipos y los servicios de inteligencia occidentales que llevan años midiendo la dependencia de hardware chino en la infraestructura doméstica. El CNI y el CCN-CERT no aparecen en la operación, pero vigilan el patrón desde hace tiempo.
Nivel de clasificación estimado: sin clasificar pero sensible. El informe del GTIG es público, aunque la telemetría que lo sustenta —qué modelos, qué lotes, qué rangos de IP infectados— es material que ningún fabricante quiere ver publicado con su logo al lado.
Aquí viene lo incómodo. El sello de homologación de Google no garantizó nada durante años. La certificación funcionó como una papilla de confianza: el usuario medio lee ‘Android certificado’ y baja la guardia. La propia Google reconoce que cambió sus procesos de revisión, pero no explica cómo, con el argumento de no dar pistas a los atacantes. Es defendible en el plano operativo y decepcionante en el de la rendición de cuentas.
Me consta que en el sector se lleva años avisando de esto. Lo escribí hace años en El quinto elemento y sigue vigente: en España hay 8.000 infraestructuras críticas y atacables a través de internet. Un TV box no es una de ellas, pero sí es la puerta de la red doméstica desde la que un empleado se conecta, sin saberlo, a la red corporativa.
El riesgo del análisis es evidente. Sin atribución estatal, hablar de ‘puerta trasera china’ le hace el trabajo a quien quiere convertir un caso de delincuencia económica en una cruzada geopolítica. Conviene no caer en eso. También conviene no mirar a otro lado: cuando un proveedor homologado opera una botnet mundial durante años, el problema no es la bandera del fabricante, sino la ausencia de una autoridad capaz de auditar el firmware.
Europa va camino de tenerla a medias. El Reglamento de Ciberresiliencia, en aplicación plena desde diciembre de 2027, obligará a los fabricantes de productos conectados a mantener parches y a someterse a auditoría. Hasta entonces, la única buena noticia es que una red ha caído. La mala es que sus operadores ya están montando la siguiente.
El resto lo dirá el terreno.
