Google desactiva red de 1.3 millones de televisores infectados

Google desmanteló una red de decodificadores Android infectados desde fábrica y vetó al fabricante chino señalado por distribuir el código malicioso.

Google desactivó una red de más de 1.3 millones de decodificadores de televisión Android que contenían un programa malicioso instalado desde fábrica y prohibió al fabricante chino Videostrong Technology producir dispositivos con sus aplicaciones.

El anuncio se realizó el 2 de noviembre, en coordinación con empresas de ciberseguridad y la Policía Nacional de Japón. De acuerdo con el Grupo de Inteligencia de Amenazas de Google (GTIG), la compañía Videostrong habría desarrollado, instalado y operado el malware identificado como XCPE con fines de lucro.

Según la investigación, la empresa vendía el acceso a los dispositivos a grupos criminales, que los utilizaban para cometer fraudes publicitarios y distribuir otros programas dañinos.

A diferencia de otros ataques informáticos, los usuarios no necesitaban descargar archivos sospechosos ni abrir enlaces para infectarse. El código malicioso estaba integrado en el firmware, el software básico que permite funcionar al equipo, por lo que llegaba instalado desde su fabricación.

Decodificadores utilizaban internet de los hogares

Una de las principales funciones del malware era convertir los dispositivos en proxies residenciales. Este mecanismo permite que terceros utilicen la conexión a internet de una vivienda para realizar actividades en línea y ocultar el origen real de su tráfico.

De esta manera, las operaciones de los ciberdelincuentes podían parecer conexiones de usuarios comunes, lo que dificultaba que bancos y tiendas digitales detectaran actividades sospechosas.

La empresa de seguridad TrendAI contabilizó 1 millón 472 mil 554 dispositivos infectados, correspondientes a 206 modelos y más de 170 países, durante el periodo comprendido entre junio y octubre de 2026.

Por su parte, Google y sus socios reportaron más de 1.3 millones de aparatos en más de 200 países. La diferencia en las cifras se atribuye a los periodos y registros utilizados por cada compañía.

TrendAI también identificó 3.8 millones de direcciones de internet de hogares y dispositivos móviles conectadas con la operación entre el 3 de junio y el 1 de octubre.

De acuerdo con el reporte de Google citado por medios especializados, el malware podía desactivar Google Play Protect, ejecutar comandos con privilegios de sistema, capturar pantallas y recopilar información de cuentas y aplicaciones instaladas.

Entre los servicios de proxy cuyos módulos podía instalar se encontraban Honeygain, NetNut y Traffmonetizer.

Google señala al fabricante por operar el malware

El Grupo de Inteligencia de Amenazas de Google indicó que tenía un alto nivel de confianza en que Videostrong Technology desarrolló y operó el programa malicioso.

La compañía sostuvo que no se trató de un error aislado de desarrollo ni de la acción de un empleado. Según sus investigaciones, la operación llevaba varios años activa en diferentes marcas y modelos, con infraestructura propia y configuraciones que cambiaban para evitar ser detectadas.

Videostrong, con sede en Shenzhen, China, no respondió de inmediato a las consultas de The Register.

El caso también fue relacionado con BadBox 2.0, otra red de dispositivos infectados que afectó a más de 10 millones de aparatos, entre decodificadores y otros equipos, antes de que Google, Human y TrendAI participaran en su desarticulación en marzo de 2025.

Los dispositivos continúan infectados

Aunque Google consiguió desactivar los servidores de control de la red, esto no significa que los decodificadores vendidos hayan quedado limpios.

El malware XCPE puede reinstalarse automáticamente desde una partición del sistema reservada al fabricante, incluso si alguien intenta eliminarlo manualmente.

De acuerdo con las recomendaciones difundidas por las empresas de seguridad, para retirar el código malicioso es necesario instalar un software limpio. Otra alternativa es desconectar el dispositivo de internet para impedir que continúe comunicándose con los servidores externos.

TrendAI advirtió que el programa está integrado como una aplicación del sistema y firmado con la clave del fabricante, por lo que los propietarios no pueden eliminarlo mediante los procedimientos habituales.

Ante este escenario, la empresa recomendó evitar decodificadores sin marca o que no cuenten con certificación de Android, así como aplicaciones que ofrecen pagos a cambio de compartir el ancho de banda de internet.

Google también reconoció que los dispositivos se comercializaban como equipos Android certificados. Videostrong habría utilizado técnicas de ocultamiento para que el código malicioso se activara después del primer arranque, lo que le permitió superar las pruebas de revisión.

La compañía aseguró que modificó sus procesos de verificación para evitar que situaciones similares se repitan.

Además, Google estimó que el bloqueo de dominios de control de otras familias de malware dejó sin acceso a al menos 10 millones de dispositivos adicionales, entre ellos decodificadores de televisión, máquinas de karaoke y equipos de telesalud, algunos de los cuales no utilizan Android.

Noticias del tema