Google desmantela XCPE: 1,3 millones de TV boxes Android traían una puerta trasera de fábrica y su fabricante vendía el acceso a criminales
No hacía falta instalar nada malo: la caja ya venía infectada de fábrica. Google dice que el fabricante metió la puerta trasera en el firmware, vendió la entrada a los salones de sus clientes y ahora queda expulsado del Android certificado.
Google ha desmantelado, junto a socios del sector y la Policía Nacional de Japón, la botnet XCPE: una puerta trasera preinstalada en el firmware de más de 1,3 millones de TV boxes Android en más de 200 países. En su informe de este lunes, el Grupo de Inteligencia de Amenazas de Google (GTIG) atribuye la operación «con alta confianza» a Videostrong Technology Co., fabricante chino de Shenzhen, y sostiene que no fue un descuido: la puerta trasera se desarrolló deliberadamente para ganar dinero.
El negocio era vender la entrada a los salones ajenos. Según Google, Videostrong cargaba módulos de afiliados criminales que cometían fraude publicitario, convertían las cajas en proxies residenciales —el tráfico de terceros salía desde la conexión doméstica del dueño, sin que lo supiera— e instalaban más malware. La puerta trasera, x.cpe, corre con privilegios de sistema, desactiva Google Play Protect, instala apps en silencio, ejecuta comandos y captura la pantalla.
El desmantelamiento va más allá de las cajas. Google actuó legalmente contra los dominios que controlaban la botnet y contra la infraestructura de más de una docena de familias de malware que viajaban como módulos; como esos afiliados también se distribuían por otras vías, la operación corta el acceso a al menos 10 millones de dispositivos comprometidos adicionales, entre ellos máquinas de karaoke y equipos de telemedicina. TrendAI contó 1.472.554 dispositivos infectados en 206 modelos entre junio y octubre, con las mayores concentraciones en Malasia, Brasil, Irak, México y Taiwán, según The Hacker News.
La sanción es total: Google ha roto con Videostrong, le ha revocado la licencia para fabricar dispositivos Android TV con sus apps precargadas y ha vetado a la empresa —y a cualquier filial futura— de producir aparatos Android certificados o suministrar software a otros fabricantes. Videostrong habría ocultado su código aprovechando un hueco en las pruebas de certificación, cargando el código malicioso tras el primer arranque; Google dice haber cambiado ese proceso y reforzado los controles del firmware.
El problema es que apagar los servidores no limpia el aparato: la puerta trasera vive en el firmware y, si se desinstala, se reinstala sola desde la partición /oem/ al reiniciar. BleepingComputer recoge que haría falta un firmware limpio o desconectar el dispositivo, y Synthient, que rastreó la operación hasta Videostrong a partir de una MECOOL KM9PRO Max, recomienda retirar estas cajas. Una TV box barata puede salir muy cara.
Comentarios
Sé el primero en comentar.
Sigue leyendo
Ciberseguridad
PostgreSQL tapa 52 agujeros de golpe: un fallo de 22 años permitía ejecutar código en el servidor
PostgreSQL acaba de cerrar 52 vulnerabilidades de una vez, 32 de ellas con nota 8,8. Una llevaba 22 años escondida en el código: ¿ya parcheaste tu base de datos?
Ciberseguridad
El firewall era la puerta: un zero-day de Check Point da root a los atacantes, planta el backdoor TSGA y borra servidores ESXi
Un zero-day de Check Point ya se explota para llegar a root, plantar un backdoor y borrar servidores ESXi. Hay parche de emergencia: ¿llegó a tu gateway?
Ciberseguridad
Operation TorNado: 354 detenidos en 14 países y 234 millones incautados en la mayor redada contra la dark web
354 detenidos, 5,7 toneladas de droga y 234 millones incautados: la mayor redada contra la dark web ya es oficial. ¿Creías que ahí nadie te encuentra?