Google desmantela la botnet XCPE con más de 1,3 millones de dispositivos Android

El 2 de noviembre de 2026, Google informó de la desarticulación de XCPE, una botnet formada por más de 1,3 millones de dispositivos Android TV que, según la compañía, fueron infectados deliberadamente durante su fabricación para obtener ingresos mediante actividades delictivas.

Google atribuye con alta confianza la operación al fabricante chino Videostrong Technology Co., al que acusa de integrar una puerta trasera persistente en distintos modelos y marcas y de vender acceso a afiliados criminales. Los dispositivos se utilizaron para fraude publicitario, como proxies residenciales y para instalar malware adicional.

La compañía también interrumpió los servidores de mando y control utilizados por más de una docena de familias de malware relacionadas, lo que cortó el acceso a al menos otros 10 millones de dispositivos comprometidos. Entre ellos había decodificadores, máquinas de karaoke y equipos de telesalud, y no todos funcionaban con Android.

El componente principal, identificado como x.cpe y com.oemservice, operaba con privilegios de sistema. A través de una infraestructura MQTT, los operadores podían instalar aplicaciones, desactivar Google Play Protect, ejecutar comandos, capturar pantallas, registrar pulsaciones, recopilar información del dispositivo y establecer shells inversas.

Google señaló que los módulos desplegados incluían servicios de proxy residencial asociados a Linkfog, AppSalt/Honeygain, GaGaNode, NetNut y Traffmonetizer, además de herramientas para generar impresiones y clics publicitarios fraudulentos e instalar otras puertas traseras.

Como parte de la respuesta, Google puso fin a su relación con Videostrong, revocó su licencia para fabricar dispositivos Android TV con aplicaciones y servicios de Google preinstalados y prohibió al fabricante y a sus futuras filiales producir dispositivos Android certificados o suministrar software a proveedores certificados. En la operación participaron la National Police Agency de Japón y Lumen, HUMAN Security, Plume, Synthient y TrendAI.

La interrupción no elimina el malware de los dispositivos afectados. Google indicó que XCPE puede reinstalarse automáticamente desde la partición /oem/ si se elimina, por lo que sería necesario instalar un firmware limpio o desconectar los equipos de Internet para impedir nuevas actividades maliciosas.

Fuente: BleepingComputer.