Si tienes un TV Box en casa, atento a lo que acaba de descubrir Google, porque tiene bastante tela. Y es que la compañía ha destapado una enorme red de dispositivos infectados con un malware que, por lo visto, venía instalado directamente de fábrica. Hablamos de más de 1,3 millones de aparatos que sus propietarios podían estar utilizando con total normalidad, sin saber lo que tenían dentro.
Lo curioso de todo esto es que no estamos hablando del típico virus que te entra por instalar una aplicación de dudosa procedencia. Aquí el problema estaba en el propio sistema operativo y, según la investigación, el fabricante habría introducido el código malicioso de forma intencionada. Además, algunos de estos equipos estaban certificados por la propia Google, así que sus compradores no tenían demasiados motivos para desconfiar.
Todo ha salido a la luz gracias al Google Threat Intelligence Group, que acaba de anunciar el desmantelamiento de esta red, conocida como XCPE. Y la cosa no se queda solamente en esos 1,3 millones de dispositivos, porque detrás había todo un negocio que llevaba funcionando desde hace años.
Más de 1,3 millones de TV Box infectados y un fabricante detrás de todo
Según explica Google, detrás de esta operación estaría Videostrong Technology, una empresa china dedicada a fabricar dispositivos Android para diferentes marcas. Los investigadores aseguran, con un alto grado de confianza, que la compañía habría desarrollado e instalado deliberadamente una puerta trasera en sus equipos para ganar dinero con ella.
¿Y para qué servía exactamente? Pues para bastantes cosas. El malware, llamado XCPE, permitía instalar aplicaciones sin autorización, ejecutar órdenes a distancia e incluso hacer capturas de pantalla o desactivar la verificación de Google Play Protect. Todo ello sin que apareciera ningún aviso en el televisor.
Pero había más. Los responsables también utilizaban estos aparatos para generar publicidad fraudulenta y vender el acceso a las conexiones de Internet de sus propietarios. De esta forma, otras personas podían enviar tráfico a través de una conexión doméstica sin que el usuario tuviera ni idea.
Lo peor es que algunos dispositivos habían superado los controles de Google
Resulta que Videostrong había conseguido esquivar las pruebas de certificación de Google, ocultando el código malicioso durante las comprobaciones y activándolo después del primer encendido.
Y no era algo precisamente nuevo. Google explica que el malware llevaba evolucionando desde al menos finales de 2024, incorporando nuevas funciones y métodos para evitar que los sistemas de seguridad lo detectaran. Además, estaba presente en diferentes marcas y modelos de dispositivos Android.
Otro detalle importante es que no bastaba con desinstalar la app sospechosa. La puerta trasera estaba guardada en una partición del firmware y podía volver a instalarse automáticamente al reiniciar el aparato. Es decir, eliminarla desde los ajustes normales no solucionaba el problema.
Google rompe con el fabricante y bloquea una red de millones de dispositivos
La respuesta de Google no se ha hecho esperar. La compañía ha roto sus relaciones con Videostrong y le ha prohibido fabricar nuevos dispositivos Android certificados o suministrar software a otros fabricantes que cuenten con esa certificación.
También ha colaborado con la policía japonesa y varias empresas de ciberseguridad para desmantelar los servidores utilizados por XCPE. Gracias a esta operación, Google calcula que las medidas podrían impedir el acceso de los ciberdelincuentes a otros 10 millones de dispositivos comprometidos por diferentes familias de malware, no solamente TV Box.
Y hay un último detalle que conviene conocer. Aunque los servidores hayan sido bloqueados, eso no significa que el código malicioso haya desaparecido de los dispositivos afectados. Google está reforzando sus controles sobre el firmware de los equipos certificados, mientras que los usuarios con una infección confirmada deberían dejar de utilizar esos aparatos hasta contar con una solución segura.
