Añadir Mangas Verdes como fuente preferida de Google de forma gratuita.
Mantente informado con las últimas noticias de actualidad.
El problema no empieza cuando alguien instala una aplicación rara, sino mucho antes. Google sostiene que el fabricante Videostrong Technology colocó una puerta trasera en el firmware de varias cajas Android TV Box, de modo que el riesgo viajaba dentro del aparato desde fábrica.
Ahí cambia por completo la escena habitual de la seguridad doméstica. No hablamos de un usuario que cae en un engaño, sino de dispositivos que llegaban al salón con privilegios de sistema para cargar módulos de fraude publicitario, actuar como proxy residencial o instalar malware.
Más de 1,3 millones de aparatos ya estaban dentro de la botnet
La red maliciosa XCPE llegó a controlar más de 1,3 millones de dispositivos con ese software preinstalado. Google añade que el desmantelamiento de la infraestructura de mando afecta además a al menos otros diez millones de dispositivos vinculados a los módulos de los afiliados.
La cifra impresiona por una razón muy concreta. Una caja conectada al televisor parece un aparato menor, casi invisible en la rutina de casa, pero puede acabar prestando su conexión para ocultar tráfico ajeno o para mover campañas de fraude sin que el dueño note nada más que un funcionamiento extraño o, a veces, ni eso.
El restablecimiento de fábrica puede no bastar para limpiar el equipo.
Google explica que la puerta trasera puede reinstalarse desde una partición del propio aparato al reiniciar. Dicho de otro modo, el gesto que muchos usuarios consideran la solución de emergencia puede devolver el problema al punto de partida.
Ni siquiera hay una lista cerrada de modelos afectados
Investigaciones paralelas relacionan estos equipos con la marca MECOOL, aunque Google no ha publicado un listado cerrado de modelos comprometidos. Esa ausencia complica algo tan básico como comprobar si el aparato que hay bajo el televisor forma parte del grupo afectado.
Mientras tanto, otros fallos recientes en el ecosistema Android ya habían mostrado que un SMS oculto en Android puede dejar un teléfono casi inutilizado sin que el usuario vea siquiera el mensaje. En este caso, la lógica resulta todavía más incómoda porque el código sospechoso ni siquiera entra después, sino que ya venía montado en el dispositivo.
Google cortó la relación con el fabricante
Google ha roto relaciones con Videostrong Technology y le prohíbe fabricar nuevos aparatos con aplicaciones de Google precargadas. La compañía también ha reforzado los controles de certificación que, según su investigación, el fabricante habría logrado esquivar.
No es un matiz menor. La certificación de Android con aplicaciones de Google preinstaladas funciona para muchos compradores como una señal de confianza, y este caso sugiere que esa barrera también puede fallar cuando el problema está enterrado en el firmware y no en una descarga posterior.
Además, el episodio encaja con una presión de seguridad más amplia sobre Android, donde Google ya ha endurecido medidas como la espera de 24 horas para APKs de desarrolladores no verificados. Aquí, sin embargo, la amenaza no dependía de pulsar aceptar, sino de encender un aparato que ya había salido contaminado de fábrica.
Eso deja una contradicción difícil de digerir para cualquier usuario. Google calcula más de 1,3 millones de dispositivos controlados por XCPE y al menos otros diez millones ligados a los módulos de los afiliados, mientras sigue sin existir una lista cerrada de modelos afectados.