Qué hacer
esta semana 4 de noviembre de 2026
alta · global

Google desmantela botnet XCPE operado por el propio fabricante

GTIG (Google) desmanteló XCPE, una red de más de 1,3 millones de set-top boxes Android, y afirma con su máximo nivel de confianza que el backdoor fue diseñado y operado por el propio fabricante, la OEM/ODM china Videostrong, para obtener ganancias financieras.

Esta semana — prioridad 1

Inventariar y segmentar en una VLAN dedicada todo dispositivo Android IoT (set-top boxes, señalética, kioscos, equipos de telesalud) con egress restringido esfuerzo medio · attack M1030 · cis 12.2 · iso27001 A.8.22
Bloquear por defecto el tráfico saliente a los puertos TCP 3885-3887 y al dominio szbboys[.]com desde todos los segmentos esfuerzo bajo · attack M1037 · cis 13.3 · iso27001 A.8.20

Este mes — prioridad 2

Exigir en todo contrato de compra de hardware conectado la declaración del ODM real, un SBOM de la partición de firmware y cláusula de reemplazo si el proveedor resulta implicado en abuso deliberado esfuerzo medio · attack · cis 15.1 · iso27001 A.5.19
Separar en VLANs o SSIDs distintos la red doméstica de teletrabajadores para el laptop corporativo y el hardware de streaming/IoT no gestionado esfuerzo bajo · attack M1030 · cis 12.2 · iso27001 A.8.22
Definir un plan de reemplazo de hardware para dispositivos cuyo firmware depende exclusivamente de un fabricante potencialmente hostil, sin esperar a que exista firmware limpio esfuerzo alto · attack · cis 1.1 · iso27001 A.5.20

Indicadores a bloquear

Tipo	Indicador
dominio	szbboys[.]com
puerto	TCP 3885-3887 (canal MQTT de C2)
ruta_http	/router/config/*

Qué necesitas tener logueado

Logs de resolución DNS (resolver corporativo o DNS de seguridad)
Logs de firewall/NGFW o proxy con visibilidad de puertos de destino no estándar
NetFlow/IPFIX de los segmentos donde operan dispositivos IoT/Android
Telemetría de red de EDR o NDR, si el sensor cubre el segmento donde está el dispositivo IoT

Las reglas de detección de este análisis están listas para descargar en https://www.vantis.cl/noticias/xcpe-botnet-fabricante-videostrong-cadena-suministro/reglas.txt — incluyen la versión Sigma canónica y las traducciones a los motores que apliquen.