Google desmantela una red global de dispositivos Android TV infectados con malware oculto

Google ha coordinado una operación internacional junto a la Policía Nacional de Japón, Synthient y Trend Micro para desmantelar la red de dispositivos comprometidos conocida como x.cpe, que mantenía una infraestructura oculta operando en aproximadamente 1,3 millones de Android TV boxes. La investigación técnica ha determinado que el fabricante Videostrong integró cargas maliciosas directamente a nivel de sistema operativo, afectando masivamente a hardware de marcas blancas y terminales de bajo coste distribuidos a escala global.

Arquitectura de la infección y persistencia a nivel de sistema

El vector de ataque principal residía en la preinstalación de componentes maliciosos que operaban con privilegios de sistema, una arquitectura que permitía a los servidores de comando y control (C2) eludir los mecanismos de seguridad convencionales. Según los análisis de Trend Micro, el volumen exacto de terminales infectados alcanzó los 1.472.554 dispositivos, con una mayor concentración en Brasil, Malasia, Irak, México y Taiwán, aunque la infraestructura también afectó a decenas de miles de usuarios en Estados Unidos, Alemania, Reino Unido, Australia y Canadá.

La complejidad técnica de esta amenaza radica en que la desactivación de los servidores de control por parte de Google no elimina por completo el riesgo residual en el hardware afectado. Google Play Protect permanece deshabilitado en muchos de estos equipos y los módulos maliciosos inactivos continúan residentes en las particiones del sistema, impidiendo que un usuario estándar pueda desinstalarlos mediante procedimientos habituales.

Acciones legales y respuesta de la industria

Para neutralizar la infraestructura subyacente, Google ha ejecutado acciones legales destinadas a clausurar los dominios y servidores gestionados por Videostrong, cortando el acceso a unos 10 millones de dispositivos históricamente vinculados a sus campañas. Como respuesta directa a la gravedad de la brecha de seguridad, Google ha roto su relación comercial con Videostrong y sus subsidiarias, prohibiéndoles el uso futuro de aplicaciones y servicios oficiales de Android.

• Volumen de la botnet: Entre 1,3 y 1,47 millones de dispositivos activos simultáneamente, con un alcance histórico estimado de 10 millones de terminales.
• Modelos afectados: Un total de 182 modelos de dispositivos identificados por Synthient, afectando principalmente a marcas como MECOOL y diversos fabricantes de hardware sin marca oficial o white label.
• Mitigación de la plataforma: Google está implementando modificaciones en su proceso de certificación para cerrar las brechas arquitectónicas que permitieron a Videostrong operar la red en dispositivos formalmente certificados.

La naturaleza abierta de Android permite la comercialización de hardware que opera fuera de los canales oficiales de certificación, lo que obliga a endurecer los protocolos de validación técnica para evitar que vectores maliciosos se infiltren en la cadena de suministro global.

Este incidente pone de manifiesto los retos persistentes en materia de soberanía digital y seguridad en la cadena de suministro de dispositivos conectados, un sector donde la interoperabilidad de la Tecnología de consumo a menudo entra en conflicto con el control estricto de las capas de firmware y software base.