Más de 1,3 millones de decodificadores de televisión con Android quedaron desvinculados de una red que aprovechaba sus conexiones a internet sin autorización de los compradores. Google anunció el operativo el 2 de noviembre, junto con empresas de seguridad y la Policía Nacional de Japón. Su equipo de inteligencia atribuyó el desarrollo y la operación del programa malicioso XCPE a la firma china Videostrong Technology, a la que prohibió fabricar dispositivos con sus aplicaciones.
Te puede interesar
Cómo utilizaban las conexiones de los hogares
El código llegaba instalado en el firmware, el software básico del equipo, por lo que la infección no requería ninguna descarga del usuario. Según Google, el fabricante comercializaba el acceso a los aparatos para cometer fraudes publicitarios e instalar otros programas dañinos. Una de sus funciones consistía en desviar tráfico de terceros a través de las conexiones domésticas, lo que permitía presentar esa actividad como si proviniera de un usuario particular.
El alcance de la operación varía según el período analizado: TrendAI identificó 1.472.554 equipos de 206 modelos en más de 170 países, mientras que Google y sus socios informaron presencia en más de 200 países. Además de compartir la conexión, el programa podía desactivar Google Play Protect, capturar pantallas y recopilar información de cuentas y aplicaciones, según el informe de Google citado por BleepingComputer. Videostrong no respondió de inmediato a las consultas de The Register.
Por qué el bloqueo no elimina la infección
La interrupción de los servidores de control no borra el programa de los dispositivos. El implante permanece en una partición del sistema y puede reinstalarse si alguien lo elimina. Según los especialistas citados, para quitarlo es necesario instalar un firmware limpio; la otra alternativa es desconectar el decodificador de internet. TrendAI señaló que el código utiliza una firma del fabricante, lo que impide desinstalarlo como una aplicación común.
Google reconoció que los equipos habían superado sus pruebas de certificación porque el fabricante ocultaba el código hasta después del primer arranque, y aseguró que modificó sus controles de revisión. La compañía también estimó que el bloqueo de dominios vinculados con otras familias de programas maliciosos cortó el acceso a al menos 10 millones de aparatos adicionales. TrendAI advirtió, sin embargo, que organizaciones similares lograron reconstruir su infraestructura después de otros operativos.
