Google desmantela botnet XCPE operado por el propio fabricante

GTIG asegura que Videostrong, un ODM chino, construyó deliberadamente un backdoor en 1,3 millones de set-top boxes Android. El malware sobrevive en la partición de firmware y llegó también a equipos de telesalud y señalética digital.

Qué pasó

Qué encontró Google

El 2 de noviembre de 2026, el equipo de inteligencia de amenazas de Google (GTIG) publicó el desmantelamiento de XCPE, una red de más de 1,3 millones de set-top boxes Android comprometidos [2]. A diferencia de los casos típicos de compromiso de cadena de suministro, GTIG sostiene —con el nivel de confianza que ellos mismos declaran como "alto"— que el backdoor no llegó por un tercero ni por un error del fabricante: fue construido y operado por el propio fabricante, la OEM/ODM china Videostrong Technology Co., con sede en Shenzhen [2].

Según GTIG, Videostrong usó ofuscación para sortear las pruebas de compatibilidad y seguridad de Android TV, cargando el código malicioso recién después del primer arranque del dispositivo, un momento que la certificación no vuelve a revisar [2]. El componente persistente (x.cpe) vive en la partición de sistema del firmware, un área que el dueño del dispositivo no puede modificar, y un receptor de arranque lo reinstala si alguien lo elimina [2][3].

Google cortó la infraestructura de comando y control, terminó su relación comercial con Videostrong, le revocó la licencia para preinstalar apps de Google y la vetó —a ella y a futuras filiales— de fabricar dispositivos Android certificados [2][3]. GTIG reporta además que el mismo tipo de malware apareció en equipos de telesalud, máquinas de karaoke y pantallas de señalética digital [2][1], y que la baja de dominios C2 de afiliados cortaría el acceso a al menos 10 millones de dispositivos adicionales comprometidos por otras vías, no necesariamente Android, según reporta BleepingComputer [2][3].

Por contexto: este caso continúa una línea que viene desde BADBOX 2.0, reportado por HUMAN Security en marzo de 2025, y la demanda de Google contra 25 operadores de esa red en julio de 2025 [6][8]. La diferencia central de XCPE es que, por primera vez en esta serie, GTIG señala a un fabricante identificado por nombre como operador intencional, y no a una red criminal difusa.

Por qué importa acá

Este análisis parte de una nota de investigación de Cloud Security Alliance (CSA Labs) (referencia 1), que compila y contextualiza información publicada originalmente por GTIG, BleepingComputer y KrebsOnSecurity. CSA Labs produce estas notas con un pipeline automatizado y no es fuente primaria de los hechos: cada dato técnico de este artículo está atribuido más abajo a la fuente primaria correspondiente.

¿Qué tan relevante es esto para Chile? No hay, al momento de publicar, ninguna víctima chilena identificada ni confirmación de que modelos de Videostrong o marcas asociadas (como MECOOL) circulen en el país. Dicho eso, el modelo de negocio de set-top boxes Android de marca blanca fabricadas en China —vendidas bajo decenas de nombres distintos, muchas veces sin trazabilidad clara del ODM real— es exactamente el canal de compra habitual en retail electrónico chileno y en marketplaces. Evaluación, confianza media: es razonable asumir que parte de este universo de dispositivos, o de los módulos de proxy residencial asociados, circula en Chile, pero no podemos confirmarlo porque Google no publicó la lista de marcas o modelos afectados. La alternativa que no podemos descartar es que el canal chileno haya recibido únicamente hardware de otros fabricantes no implicados; lo que confirmaría nuestra lectura sería que Google publique esa lista de marcas, o que algún integrador local reporte haber encontrado los indicadores.

Gobernanza bajo la Ley 21.663: el deber de reportar un incidente a ANCI dentro de los plazos que fije la normativa aplica a quienes la ley califica como Operadores de Importancia Vital (OIV) o instituciones del Estado, no a cualquier empresa. Si una organización OIV chilena detecta uno de estos dispositivos operando en su red —un televisor o pantalla en una sucursal bancaria, un hospital o una telco— y confirma actividad del backdoor, corresponde evaluar si ese hallazgo constituye un incidente reportable según el reglamento aplicable. No citamos plazos específicos porque no están verificados en esta fuente.

Ley 21.719 (protección de datos personales): XCPE soporta captura de pantalla e inyección de teclado [2]. Si un dispositivo de este tipo opera cerca de datos personales —por ejemplo, un equipo de telesalud que muestra información de pacientes—, existe un riesgo de exposición que podría activar obligaciones bajo la nueva ley, cuya entrada en vigencia gradual ya está en curso. Esto es una implicancia derivada nuestra, no un hecho reportado por GTIG ni por CSA: no hay evidencia pública de que XCPE haya exfiltrado datos personales específicos desde un dispositivo de telesalud.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1195.003 — GTIG atribuye la inserción del backdoor al propio fabricante durante la fabricación, no a un tercero en la cadena de distribución.
• T1542.001 — El stub de x.cpe reside en la partición de firmware del sistema, inaccesible para el dueño del dispositivo.
• T1624.001 — Un receptor de arranque reinstala x.cpe automáticamente si el usuario lo desinstala.
• T1562 — El backdoor desactiva Google Play Protect y borra la configuración de consentimiento antes de cargar otros módulos.
• T1071 — Las muestras recientes se comunican con su C2 exclusivamente por MQTT sobre puertos TCP no estándar (3885-3887).
• T1090.002 — Los módulos de proxy residencial (Linkfog, NetNut/Popa, AppSalt/Honeygain, entre otros) enrutan tráfico de terceros a través de la IP de la víctima.

szbboys[.]com
TCP 3885-3887 (canal MQTT de C2)
/router/config/*

title: Resolución DNS al dominio de C2 de XCPE (szbboys.com)
id: a3f1c2d4-8b6e-4c91-9f3a-1e7d5b2c8a90
status: experimental
description: Detecta consultas DNS al dominio de C2 szbboys[.]com y sus subdominios, asociado al backdoor XCPE identificado por GTIG en noviembre de 2026.
author: Vantis
date: 2026-11-04
logsource:
    category: dns
detection:
    selection:
        query|contains: 'szbboys.com'
    condition: selection
falsepositives:
    - Ninguno conocido; es infraestructura de C2 dedicada
level: high

DeviceNetworkEvents
| where RemoteUrl has "szbboys.com"
   or (RemotePort in (3885, 3886, 3887) and Protocol == "Tcp")
| project Timestamp, DeviceName, RemoteIP, RemoteUrl, RemotePort, InitiatingProcessFileName

index=firewall OR index=proxy (dest_port IN (3885,3886,3887) OR url="*szbboys.com*")
| table _time, src_ip, dest_ip, dest_port, url

<rule id="100301" level="12">
  <if_sid>fw_decoder_id</if_sid> <!-- ajustar al ID del decoder de firewall/proxy en uso -->
  <match>szbboys.com</match>
  <description>Posible comunicacion con C2 de XCPE (dominio szbboys.com)</description>
  <group>xcpe,supply_chain,botnet,</group>
</rule>
<rule id="100302" level="12">
  <if_sid>fw_decoder_id</if_sid>
  <field name="dstport">^(3885|3886|3887)$</field>
  <description>Trafico TCP a puertos MQTT no estandar usados por XCPE (3885-3887)</description>
  <group>xcpe,supply_chain,botnet,</group>
</rule>

Fuentes

• CSA LabsWhen the Manufacturer Is the Adversary: XCPE and Supply-Chain Trust · 2026-11-04
• Google Threat Intelligence GroupShutting the Door on the XCPE Botnet · 2026-11-02
• BleepingComputerGoogle disrupts million-device XCPE Android malware botnet, bans TV box maker · 2026-11-02
• KrebsOnSecurityTech Firms Dismantle Botnet That Turned 1.3M TV Boxes Into Proxies · 2026-11-02
• NISTSP 800-161 Rev. 1: Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations · 2022-05-01
• FBI / Internet Crime Complaint CenterHome Internet Connected Devices Facilitate Criminal Activity (I-060525-PSA) · 2025-06-05
• HUMAN SecurityHUMAN Exposes BADBOX 2.0 Scheme · 2025-03-05
• The RegisterGoogle sues 25 alleged BadBox 2.0 botnet operators, all of whom are in China · 2025-07-18

Relacionado