Las cajas Android TV traían el malware de fábrica

Más de 1,3 millones de cajas Android TV salían de fábrica con una puerta trasera instalada a propósito. Según el informe del Grupo de Inteligencia de Amenazas de Google (GTIG), el responsable es el propio fabricante, la china Videostrong Technology Co., que vendía a delincuentes el acceso a esos aparatos y, con él, a la conexión de quienes los tenían en el salón. Google y varias empresas de seguridad han tumbado ahora la infraestructura de esta red, bautizada como XCPE.

«Evaluamos con un alto grado de confianza que la puerta trasera y la botnet fueron desarrolladas, desplegadas y operadas intencionadamente con fines lucrativos por Videostrong Technology Co.», afirma el GTIG, según recoge BleepingComputer.

Qué hacían con tu caja

A diferencia de otras botnets, XCPE no entraba por una vulnerabilidad ni engañaba a nadie para instalar nada: venía metida en el firmware. Sus componentes principales, identificados como x.cpe y com.oemservice, funcionan con privilegios de sistema. Al arrancar, la caja contactaba con servidores de control desde los que se podía:

• Descargar e instalar aplicaciones sin avisar.
• Ejecutar órdenes con privilegios de sistema.
• Hacer capturas de pantalla e inyectar pulsaciones de teclado.
• Recopilar datos de cuentas, del dispositivo y de las aplicaciones instaladas.
• Explorar la red local y abrir accesos remotos.

Sobre esa base, Videostrong cargaba módulos de sus clientes delincuentes. Unos convertían la caja en un proxy residencial, es decir, alquilaban tu dirección IP a desconocidos para que su tráfico pareciera tuyo. Entre los servicios citados están AppSalt/Honeygain, NetNut, Traffmonetizer, GaGaNode o Linkfog. Otros generaban fraude publicitario cargando páginas ocultas y pulsando anuncios, y algunos instalaban más puertas traseras.

Al cortar los servidores de control, Google dice haber dejado sin acceso a al menos otros 10 millones de dispositivos comprometidos por familias de malware relacionadas, entre ellos decodificadores, máquinas de karaoke y aparatos de telemedicina. No todos son Android. Ben Brundage, fundador de Synthient, una de las empresas participantes, considera la cifra de 1,3 millones «muy conservadora», según Krebs on Security.

Cómo saber si te afecta y qué hacer

Synthient ha publicado una lista de dispositivos afectados ordenada por número de modelo; es el primer sitio donde mirar. Su investigación partió de una caja MECOOL KM9PRO Max comprada a finales de 2025, una marca que, según Krebs, comercializa Skyworth Technology y que se hizo popular tras aparecer en un vídeo de Linus Tech Tips, que el canal ha actualizado para presentarla como una estafa.

La mala noticia es que desmontar los servidores no limpia las cajas. El malware sigue dentro y, si se borra, se reinstala solo desde la partición /oem/. Las opciones que dan las fuentes son dos: instalar un firmware limpio o desconectar el aparato de internet. Quien administre una red puede vigilar el tráfico hacia los dominios que señala el informe, como anyevonline.com.

¿Y el sello de Google?

Videostrong era un socio con licencia para fabricar Android TV con las aplicaciones de Google preinstaladas. Google asegura que exige pruebas de compatibilidad y seguridad, pero que el fabricante usó técnicas de ofuscación para esquivarlas y cargar el código malicioso tras el primer arranque. La compañía dice haber corregido ese punto ciego, ha roto con Videostrong y le prohíbe, a ella y a sus futuras filiales, fabricar dispositivos certificados o suministrar software a quienes los hacen.

Queda la pregunta de fondo: según Google, el malware estuvo años presente en muchos modelos y marcas. Durante todo ese tiempo, la certificación no lo detectó.

Fuentes: BleepingComputer, Krebs on Security, The Hacker News