miércoles, 4 de noviembre de 202618°General Pico · 13° / 22°Dólar Oficial $1.570Dólar Blue $1.560Dólar MEP $1.589Dólar Tarjeta $2.041
Google desarticula la botnet XCPE instalada en más de 1,3 millones de decodificadores
Google y socios industriales desmantelaron la puerta trasera XCPE, que había convertido a más de 1,3 millones de decodificadores en parte de una red de bots. Google cortó vínculos con el fabricante responsable, Videostrong.
Redacción PicoTecno
2 min de lectura
(cloud.google.com)
Según informó Google Cloud en su blog de inteligencia de amenazas, Google y empresas aliadas desmantelaron la puerta trasera (backdoor, un acceso oculto que permite controlar un equipo sin que su dueño lo sepa) conocida como XCPE. Esta puerta trasera había sumado a más de 1,3 millones de decodificadores de televisión a una botnet, es decir, una red de equipos infectados que pueden ser manejados a distancia por un tercero.
La compañía atribuye el software malicioso a Videostrong Technology Co., un fabricante que produce dispositivos Android tanto como fabricante original de equipos (OEM, por sus siglas en inglés) como de diseño original (ODM). Según el análisis, la empresa lo desarrolló, lo distribuyó y lo operó con fines económicos, vendiendo acceso a afiliados criminales que cargaban sus propios módulos maliciosos en los aparatos infectados.
Esos módulos realizaban fraude publicitario, incorporaban silenciosamente los dispositivos a redes de proxies residenciales (que usan la conexión de un hogar para enmascarar el tráfico de terceros) y descargaban más malware. Además, las acciones de Google incluyeron la baja de dominios de comando y control (C2, los servidores desde los que los atacantes dan órdenes), lo que, según la estimación de la compañía, podría cortar el acceso a al menos otros 10 millones de dispositivos comprometidos.
Para evitar la detección, el malware estaba integrado en distintos modelos y marcas, y su configuración cambiaba constantemente. Google indicó que Videostrong aprovechó técnicas de ofuscación (ocultar el código para que resulte difícil de analizar) para eludir las pruebas de compatibilidad y seguridad que la empresa exige a los fabricantes, cargando código malicioso después del primer encendido del equipo. Por eso, la compañía anunció cambios en su proceso de revisión.
Como medidas, Google expulsó a Videostrong y a sus eventuales filiales o afiliados del programa de dispositivos certificados Android, les prohibió fabricar equipos con aplicaciones de Google preinstaladas y les impidió suministrar software a otros fabricantes certificados. También mencionó mejoras en la verificación de la integridad del firmware de los equipos Android TV. En las tareas de desarticulación participaron la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI.
Cómo operaba la infección
De acuerdo con el informe, la amenaza evolucionó desde finales de 2024 hacia una arquitectura modular de tres etapas. La primera es una puerta trasera preinstalada en la partición de firmware con privilegios de sistema, que se reinstala sola si el usuario la desinstala. La segunda es un cargador que se encarga de ejecutar los módulos y evitar los análisis de seguridad. La tercera corresponde a los módulos de monetización, desarrollados por terceros, que convierten al equipo en nodo de proxy, motor de fraude publicitario o puerta de entrada a nuevas amenazas.
Entre las capacidades documentadas figuran la instalación silenciosa de aplicaciones, la desactivación de Google Play Protect (el sistema de verificación de apps de Android), la ejecución remota de comandos de shell y el monitoreo del escritorio remoto con captura de pantalla. Google advirtió que los operadores de puertas traseras, redes de fraude publicitario y proveedores de proxies forman una cadena de suministro interconectada, por lo que los cortes puntuales deben complementarse con un seguimiento sostenido de esa infraestructura.
