Google: un fabricante de cajas TV vendió 1,3 M de dispositivos a criminales

Más de 1,3 millones de dispositivos Android —la mayoría cajas decodificadoras colocadas bajo televisores en más de 200 países— llevaron meses trabajando para alguien que no era su propietario. A finales de octubre, una coalición liderada por Google utilizó acciones legales para incautar los dominios y servidores que operaban la botnet, cortando el acceso a sus operadores. Google, Lumen, Human Security, Plume, Synthient y TrendAI participaron junto con la Agencia Nacional de Policía de Japón, según The Register.

El desmantelamiento es la parte fácil de la historia. La parte delicada es la afirmación central de Google: esto no fue un compromiso de la cadena de suministro en el sentido habitual, en el que un actor malicioso introduce algo en el proceso de fabricación de un proveedor. Google sostiene que el proveedor era el actor malicioso. Su Grupo de Inteligencia de Amenazas evalúa con alta confianza que el fabricante con sede en Shenzhen Videostrong Technology construyó la puerta trasera, llamada x.cpe, en su propio firmware a propósito, y después vendió el acceso a afiliados criminales. Videostrong no respondió a las consultas de The Register, así que hay que tratarlo como una acusación que Google respalda, no como una sentencia judicial. Pero si se confirma, la pregunta para todo comprador y revendedor de hardware Android barato cambia por completo. Ya no se trata de si la caja supone un riesgo, sino de qué creía exactamente el comprador que ahorraba con ese precio de saldo.

La puerta trasera era una función, no un error

Esto es lo que diferencia el caso de la historia habitual de botnets. La puerta trasera x.cpe se ejecuta como una aplicación del sistema dentro del firmware del dispositivo, con privilegios de sistema, firmada con la clave propia del fabricante. No se instaló mediante un correo de phishing ni una descarga furtiva. Salió de fábrica ya instalada, según informó The Hacker News, integrada en numerosos modelos y marcas de dispositivos durante varios años. Google afirma explícitamente que no cree que un empleado malintencionado ni un error fueran los responsables.

«Evaluamos con alta confianza que la puerta trasera y la botnet fueron desarrolladas, desplegadas y operadas intencionadamente con fines lucrativos por Videostrong Technology», declaró el Grupo de Inteligencia de Amenazas de Google.

El mecanismo, según el análisis de TrendAI: el agente de gestión preinstalado en el firmware se hacía pasar por un cliente estándar de administración remota. Descargaba actualizaciones de una página de GitHub e informaba a un servidor MQTT que otorgaba al operador control remoto total de cada caja: instalar y eliminar aplicaciones, cambiar ajustes y enviar actualizaciones. Cuando necesitaba instalar software en silencio, x.cpe desactivaba primero las comprobaciones de verificación de aplicaciones de Google Play Protect, la capa de seguridad integrada de Android. Es un truco ingenioso, y no es barato de construir. Estaba diseñado como producto.

¿Qué podían hacer los operadores con ese acceso? Según el análisis de Google, bastante: instalar aplicaciones sin que el propietario lo supiera, ejecutar comandos arbitrarios, capturar la pantalla y mapear la red en la que se encuentra la caja. Google afirma haber observado a los operadores de Videostrong usando efectivamente estas capacidades: tomando capturas de pantalla en directo, inyectando pulsaciones de teclas, copiando datos de cuentas, listas de aplicaciones y registros del sistema, y abriendo shells inversas en las cajas. Recuerden que estos dispositivos no estaban todos en salas de estar. La puerta trasera también apareció en equipos de telemedicina, máquinas de karaoke y pantallas digitales. Una shell inversa en un equipo de telemedicina es una frase que no disfruté escribiendo.

Lo que valen 1,3 millones de cajas para un delincuente

Sigamos el dinero, porque ese es todo el modelo de negocio. La mayoría de los módulos adicionales cargados a través de la puerta trasera hacían una de dos cosas: convertir las cajas en proxies residenciales o vender su ancho de banda sobrante. Un proxy residencial permite a un cliente que paga enrutar tráfico a través de la conexión a internet de un hogar corriente, de modo que lo que haga parezca provenir del sofá de alguien y no de un centro de datos. Otros módulos ejecutaban fraude publicitario, simulando visualizaciones de anuncios en línea. El propietario de la caja no obtiene nada más que un dispositivo algo más caliente y una dirección IP que ahora aparece en el informe de incidentes de otra persona.

Cifras de escala que merecen una lectura pausada. Entre el 3 de junio y el 1 de octubre, TrendAI contabilizó 1.472.554 dispositivos infectados en 206 modelos, y afirma que la cifra real es como mínimo igual de alta. Durante el mismo periodo registró más de 3,8 millones de direcciones IP residenciales y móviles distintas conectadas a la operación. Malasia, Brasil, Irak, México y Taiwán encabezaron la tabla de infecciones; Estados Unidos, Alemania, Reino Unido, Australia y Canadá tuvieron cada uno entre unos 26.000 y 42.000 dispositivos infectados. Fue un inventario global del ancho de banda ajeno, alquilado por horas.

La coalición no se limitó a la infraestructura propia de la puerta trasera. También derribó los dominios de comando y control de más de una docena de familias de malware que los afiliados criminales, compradores del acceso, cargaban mediante x.cpe. Como esos afiliados distribuyen sus módulos también por otros canales, Google estima que la acción más amplia les corta el acceso a al menos 10 millones de dispositivos comprometidos adicionales. Google también rompió por completo sus vínculos con Videostrong, prohibiendo a la empresa —y a cualquier filial o afiliado futuro— fabricar o vender dispositivos Android certificados y suministrar software a otros fabricantes certificados. Es lo más parecido a una pena de muerte corporativa en el ecosistema Android.

Una advertencia antes de que alguien declare la victoria: el propio Google advierte que los operadores de puertas traseras y sus clientes cambian de herramienta con rapidez cuando se interrumpe una parte del montaje. Además, este ecosistema tiene antecedentes. Toda la operación se sitúa en el mismo entorno que BadBox 2.0, la botnet que infectó más de 10 millones de cajas de TV y otros dispositivos antes de que Human, Google y TrendAI la desmantelaran en marzo de 2025. Cierras una caja registradora y la tienda reabre con otro nombre. Lo que nos lleva a la parte que los compradores no quieren oír.

No hay parche que te saque de esta

El primer instinto de cualquier CISO es la remediación: borrar, parchear y seguir adelante. Aquí no funciona. Como x.cpe reside en el firmware como una aplicación del sistema firmada con la clave del fabricante, eliminarla no es duradero: se reinstala sola al reiniciar la caja. El propietario no puede arreglar el dispositivo. El veredicto de TrendAI sobre la limpieza es contundente: requiere «acción del proveedor, protección a nivel de plataforma o reemplazo del dispositivo». Dado que el proveedor es la parte acusada, la acción del proveedor parece optimista.

Plume recomienda un restablecimiento de fábrica completo por si los módulos criminales instalaron puertas traseras adicionales, aunque no afirma que un restablecimiento elimine el propio x.cpe. Synthient, que hace seguimiento de redes de proxy, omite el matiz por completo: aconseja a los consumidores tirar las cajas definitivamente. Cuando el consejo de remediación de una firma de inteligencia de amenazas equivale a tirar el hardware, esa es la respuesta a si este hardware supera un análisis de coste-beneficio. Synthient compró un MECOOL KM9PRO Max —MECOOL es la marca de consumo que vincula con Videostrong— y encontró la puerta trasera preinstalada de fábrica. Plume detectó más de una docena de dispositivos comunicándose con el servidor de control de la botnet, la mayoría de ellos MECOOL. Synthient ha publicado una lista de 182 nombres de modelos vistos en la campaña, con la advertencia honesta de que el nombre de un modelo, por sí solo, no confirma la infección.

Las cuentas de diligencia debida que nadie hizo

Ahora, la aritmética incómoda. Nadie paga una auditoría de seguridad para un aparato que cuesta menos que el almuerzo de un equipo. Eso es racional hasta que deja de serlo. La diligencia debida que habría detectado esto no es exótica: comprar dispositivos certificados por Google en lugar de compilaciones Android genéricas (la prohibición de Google a Videostrong solo afecta al hardware certificado, que es precisamente el sentido de la certificación), exigir al fabricante alguna prueba de la procedencia del firmware y colocar cualquier dispositivo inteligente sin gestión en un segmento de red donde no pueda ver nada importante. Nada de esto requiere una nueva compra de plataforma. Requiere una política de compras con dientes y una hora de configuración de red. Hemos visto la misma lección en las cadenas de suministro de software: la puerta trasera de LiteLLM instalada con tokens robados de GitHub fue distinta en el método, pero idéntica en la moraleja: lo confiable que no verificaste es lo que te hace daño.

Para las empresas, la exposición es mayormente indirecta, pero real. TrendAI aconseja a las compañías con personal remoto que traten los dispositivos de consumo no gestionados en redes domésticas como parte de su superficie de ataque, y que mantengan el acceso corporativo detrás de dispositivos gestionados. Si tu plantilla híbrida se conecta por VPN desde redes domésticas donde una caja de TV con puerta trasera vende discretamente el ancho de banda del hogar y mapea la LAN, tu espacio de IP residencial de confianza deja de serlo. La recomendación organizativa de Synthient es igual de concreta:

• Usa sus indicadores publicados para buscar dispositivos MECOOL o similares en tu red.
• Desconecta y desecha los que aparezcan.
• Bloquea los dominios y direcciones IP de control listados en el resolutor y en el perímetro.
• Mantén los dispositivos inteligentes en segmentos separados, lejos de los sistemas sensibles.

Los revendedores y socios de canal también deberían ponerse las pilas. Si almacenaste o recomendaste estas cajas, ahora tienes clientes ejecutando hardware que el proveedor supuestamente vendió a criminales, sin más solución que desecharlo. Las llamadas de soporte, las sustituciones, la erosión silenciosa de la confianza: todo ese margen ya lo gastaste. El precio unitario bajo era un préstamo, y los intereses acaban de vencer.

La conclusión

Mantengamos la perspectiva: para la mayoría de las empresas, esto no es una emergencia máxima. La botnet monetizaba ancho de banda doméstico e impresiones publicitarias, no las joyas de la corona corporativas, y el desmantelamiento ya ha cortado las piernas a los operadores. Si tu exposición se reduce a unas cuantas cajas de streaming en la cocina de la oficina, tu presupuesto de remediación es una bolsa de basura. Pero como lección de compras, este caso resulta barato aunque cueste el doble. Google acusa a un fabricante de haber monetizado a sus propios clientes dos veces: una en la caja registradora y otra en el mercado criminal. Y las únicas defensas que funcionaron fueron las aburridas: certificación, procedencia, segmentación y acceso gestionado para el personal remoto. Audita qué hardware basado en Android posees o revendes este trimestre, aísla lo que no puedas verificar y deja de permitir que el precio unitario sea el único número de la hoja de cálculo. La caja más barata de la estantería acaba de demostrar su coste real: es lo que alquila una porción de una botnet de 1,3 millones de dispositivos.