Michael JohnsonSi tienes un dispositivo Android TV con firmware del fabricante Videostrong, comprueba su procedencia: el 2 de noviembre, Google informó de que, junto con sus socios, había interrumpido la botnet XCPE, que incluía más de 1,3 millones de dispositivos. Como parte de la operación, Google logró que se cerraran servidores de control y dominios maliciosos, y prohibió a Videostrong fabricar dispositivos Android certificados con aplicaciones de Google preinstaladas. Google describió la operación como respuesta a una puerta trasera integrada en el firmware de varios modelos.
Qué se desactivó exactamente
Según Google Threat Intelligence Group, XCPE utilizaba un componente llamado x.cpe integrado en el firmware. Este se comunicaba con un servidor de control, recibía comandos y descargaba módulos adicionales. Google informó de acciones legales contra los dominios y servidores que Videostrong utilizaba para gestionar la botnet e instalar componentes maliciosos, así como contra los dominios de control de más de una docena de familias de malware.
En la operación participaron la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI. Google también afirmó que había prohibido a Videostrong, así como a sus futuras filiales y empresas afiliadas, fabricar y vender dispositivos Android certificados y suministrar software a otros fabricantes certificados. La empresa informó de cambios en la verificación de la integridad del firmware de Android TV.
«Interrumpir su funcionamiento» es más preciso que prometer una limpieza inmediata de todos los televisores. Google describe el desmantelamiento de la infraestructura de control y los dominios asociados; la publicación no informa de una reparación remota del firmware en todos los dispositivos ya vendidos. El cierre de los servidores priva a los operadores de canales importantes para controlar los dispositivos y distribuir módulos, pero no reescribe por sí mismo el software ya instalado.
Por qué la infección sobrevivía al reinicio
El componente malicioso estaba en la partición del sistema del firmware. Google explica que x.cpe se ejecutaba con privilegios del sistema y podía restaurar su copia después de un reinicio si el usuario eliminaba la aplicación de la partición de datos habitual. Por eso, buscar y eliminar una aplicación sospechosa desde los ajustes de Android no garantizaba que el dispositivo quedara limpio.
La puerta trasera mantenía una conexión persistente con la infraestructura de control y podía recibir instrucciones para instalar aplicaciones de forma oculta, ejecutar una shell y recopilar datos. Google informó de que había observado capturas de pantalla, introducción de comandos, transmisión de información de cuentas y del sistema, y ejecución de scripts. Los módulos descargados convertían los dispositivos en nodos de redes de proxy residenciales o los utilizaban para cometer fraude publicitario; algunos módulos instalaban malware adicional.
Esto convierte un dispositivo de TV corriente en parte de la infraestructura de red de otra persona. El tráfico que circula por la conexión doméstica puede parecer el del propio usuario, aunque, en realidad, el dispositivo esté ejecutando instrucciones de un operador remoto. Google también mencionó entre los objetivos detectados el fraude publicitario y la transmisión de datos.
Qué debe hacer el propietario del dispositivo
Primero, comprueba la marca y el modelo exactos del dispositivo, quién fabrica el firmware y la información sobre su certificación. El nombre de la marca por sí solo no confirma una infección: Google habla de numerosos modelos y marcas en los que se incluía software de Videostrong, por lo que el origen del dispositivo y su firmware son determinantes. Contrasta la información con la lista actualizada de socios oficiales de Android TV y con los documentos del vendedor o fabricante.
Si no puedes determinar el origen del dispositivo o pertenece al ecosistema afectado, desconéctalo de la red y pide al vendedor o fabricante instrucciones confirmadas para sustituirlo o reinstalar el firmware. No des por hecho que un restablecimiento de fábrica y la eliminación de aplicaciones bastan para resolver el problema de un componente que, según Google, se almacena en el firmware del sistema y se restaura tras reiniciar. No instales imágenes de firmware de procedencia dudosa encontradas en foros: una imagen incorrecta puede inutilizar el dispositivo o crear nuevos riesgos.
Si utilizaste el dispositivo para iniciar sesión en cuentas o mostrar información personal, comprueba la actividad de esas cuentas desde otro dispositivo de confianza y cambia las contraseñas si detectas indicios de acceso ajeno. Esta medida protege las cuentas: no limpia el dispositivo, así que tendrás que resolver ese problema por separado.
Qué queda tras la operación
Google atribuye a Videostrong la instalación deliberada y el uso comercial de la puerta trasera relacionada con XCPE. La empresa también calcula que la desactivación de los dominios de control de módulos asociados podría dejar sin acceso a ellos a más de 10 millones de dispositivos comprometidos fuera de XCPE. Esta es una estimación de Google sobre el posible efecto de las medidas contra una infraestructura compartida, no una cifra confirmada de dispositivos limpiados.
Para los usuarios, la conclusión práctica es sencilla: si el dispositivo procede de una fuente desconocida o utiliza firmware de Videostrong, eliminar aplicaciones y reiniciarlo no permite confirmar de forma fiable que esté limpio. Comprobar el modelo y su procedencia y, después, sustituirlo o restaurar el firmware siguiendo instrucciones confirmadas es una opción más fundamentada que intentar eliminar manualmente un único componente visible.
