Google, Plume, TrendAI™, Lumen, HUMAN Security, Synthient y la Agencia Nacional de Policía de Japón han formado una operación coordinada que combina investigación de seguridad, inteligencia de amenazas y capacidad cibernética para identificar y combatir la red zombie X.CPE.
Mountain View, California, EE. UU., 2 de noviembre de 2026 /PRNewswire/ -- Hoy, un grupo de socios del sector privado y público anunció la coordinación de la eliminación de X.CPE. Se trata de una red zombie global oculta en más de 1,3 millones de set-top boxes en más de 200 países. Este programa malicioso fue implantado antes de la venta del dispositivo, aprovechando los dispositivos y las conexiones a internet domésticas de los usuarios suscritos, sin su conocimiento ni consentimiento. Esta operación de eliminación fue liderada por Google, Plume, TrendAI™, Lumen, HUMAN Security y Synthient, con la participación de la Agencia Nacional de Policía de Japón.
Charley Snyder, encargado de la operación de eliminación del grupo de inteligencia de amenazas de Google, dijo: “Este tipo de operaciones aumenta el costo para los delincuentes y demuestra que la infraestructura en la que confían no es inalcanzable. Eliminar X.CPE requiere la colaboración conjunta de socios de la industria. Esto demuestra que la colaboración es uno de nuestros instrumentos más poderosos para enfrentar amenazas que trascienden fronteras y sectores.”
Un dispositivo familiar, ocultando una amenaza desconocida
X.CPE está incrustado en el firmware, es decir, el software que controla el funcionamiento básico del dispositivo, y se implantó antes de que el set-top box llegara a la casa del suscriptor. X.CPE fue diseñado para evadir los controles de seguridad previos a la comercialización; posteriormente, Google actualizó sus procesos de revisión en respuesta a este caso y prohibió a los fabricantes originales (OEM) relacionados, así como a cualquier subsidiaria o empresa afiliada futura, producir dispositivos con aplicaciones de Google preinstaladas. A diferencia de las infecciones que dependen de que el usuario abra archivos adjuntos sospechosos o instale aplicaciones, esta amenaza llega como parte integral del dispositivo. Los suscriptores no recibieron ninguna solicitud de consentimiento, notificación ni opción de exclusión.
Google, Plume, TrendAI™, Lumen, HUMAN Security y Synthient, en colaboración con la Agencia Nacional de Policía de Japón, llevaron a cabo una operación coordinada contra X.CPE. Cada institución aportó su experiencia especializada en seguridad de dispositivos conectados, análisis de malware, visibilidad de red y fraude digital para analizar y desactivar esta red zombie.
Estas instituciones eliminaron conjuntamente una amenaza oculta detrás de actividades aparentemente normales de dispositivos: el software incrustado en set-top boxes proporcionaba acceso remoto a los controladores de redes bot y permitía aprovechar conexiones de banda ancha domésticas sin el consentimiento de los usuarios suscritos. Esta operación de eliminación también desactivó los dominios de comando y control utilizados por los módulos de software malicioso asociados a actividades criminales. Dado que estos actores también distribuyen sus módulos a través de canales distintos a X.CPE, Google considera que el cierre de estos dominios cortará el acceso de al menos 10 millones de dispositivos infectados adicionales.
Esta acción demuestra que conectar la inteligencia entre organizaciones es fundamental para hacer frente a amenazas que trascienden fronteras tecnológicas y de red. Los socios aportaron distintas perspectivas sobre dispositivos infectados, malware y tráfico de internet, respaldando esta operación coordinada de eliminación destinada a interrumpir el acceso no autorizado y la monetización, así como a abordar los riesgos para la privacidad de los usuarios suscritos, los recursos de banda ancha y la confianza en los dispositivos conectados.
Convertir la conexión doméstica en un negocio sin permiso
Esta red zombie genera ingresos de diversas maneras desde los dispositivos infectados, incluyendo la reventa de ancho de banda, la transmisión de contenido de video, fraude publicitario, la carga de puertas traseras adicionales y la instalación de aplicaciones de pago en versiones anteriores.
Para los proveedores de servicios, estos hallazgos destacan los riesgos en la cadena de suministro que podrían no manifestarse a través del rendimiento diario del dispositivo. Una caja de streaming que funcione correctamente aún podría generar tráfico inexplicable y socavar la confianza en el servicio de banda ancha.
Capacidades profesionales complementarias, acciones coordinadas
Los socios respaldaron la operación de eliminación liderada por Google X.CPE:
- TrendAI™: Robert McArdle, Director of Cybercrime Research at TrendAI™, dijo: "Agradecemos la acción decidida de Google para eliminar esta amenaza. Nuestra investigación identificó más de 1,3 millones de dispositivos afectados por esta campaña. Esto significa que millones de hogares y empresas desconocen por completo que sus dispositivos están siendo utilizados como herramientas asociadas en actividades criminales activas —ya sea para engañar a anunciantes o para aprovechar sus conexiones mediante proxies residenciales con el fin de llevar a cabo otros ataques—, lo que a menudo incluye suplantar la identidad de personas de su región. La acción de Google y sus socios de investigación ha ralentizado significativamente a estos atacantes, y si intentan reconstruirse, nuestra investigación TrendAI™ los vigilará de cerca."
- Gavin Reid, CISO de HUMAN, dijo: “La red de dispositivos infectados se mantiene gracias a las ganancias: los operadores controlan dispositivos y conexiones domésticas sin consentimiento, y luego monetizan ese acceso mediante servicios de proxy y diversas actividades fraudulentas. Como demuestra esta operación, la colaboración grupal corta la infraestructura necesaria para monetizar, aumenta los costos de operar estas redes y debilita los incentivos que las sustentan.”
- Synthient: Benjamin Brundage, CEO de Synthient, dijo: "Las redes de pago por instalación ilegales proporcionan un pilar fundamental para un ecosistema de fraude más amplio, impulsando actividades que van desde el fraude publicitario directo hasta redes de agentes no reguladas, las cuales a su vez impulsan el relleno de credenciales y los botnets DDoS. Eliminar X.CPE contribuye a la protección general de este ámbito, así como a proteger a los consumidores inocentes que han sufrido los efectos de este programa."
Investigación y recursos:
- Google: https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet
- Plume: http://www.plume.com/xcpe-botnet-whitepaper-pdf
- TrendAI™: https://www.trendaisecurity.com/en-us/resources-insights/trendai-security-blog/trendaitm-research-helps-disrupt-android-tv-botnet-of-more-than-13-million-pre-infected-devices
Sobre Plume
Sobre TrendAI™
TrendAI™ es el líder global en seguridad con IA y la división empresarial de Trend Micro, que ayuda a las organizaciones a lograr visibilidad completa, gobernanza e integración de seguridad en IA para aumentar la confianza, impulsar la innovación y eliminar riesgos. TrendAI™ es confiado por grandes empresas e instituciones gubernamentales en 185 países, brindando protección a toda la organización, desde identidades hasta infraestructura y datos. Las empresas del Fortune Global 500 confían en TrendAI™ para anticipar la detección de amenazas hasta 115 días con la inteligencia de amenazas y ataques más avanzada del mundo. Para obtener más información, visite trendaisecurity.com.
Sobre Lumen
Lumen Technologies conecta personas con datos y aplicaciones a través de su red y servicios tecnológicos. Su equipo de investigación y operaciones de amenazas Black Lotus Labs utiliza la visibilidad global de la red para identificar actividades maliciosas, generar inteligencia de amenazas y ayudar a proteger empresas e internet. Para obtener más información, visite Lumen Technologies.
Sobre HUMAN Security
HUMAN Security ayuda a las organizaciones a proteger las experiencias digitales mediante la detección y bloqueo de amenazas automatizadas, fraude y abuso. Su tecnología e inteligencia de amenazas permiten a empresas y plataformas verificar interacciones digitales y generar confianza en el recorrido del cliente. Para obtener más información, visite humansecurity.com.
Sobre Synthient
Synthient proporciona inteligencia para identificar proxies residenciales, VPNs e infraestructuras de botnets, ayudando a las organizaciones a evaluar riesgos de tráfico e investigar comportamientos abusivos. Sus investigadores analizan redes proxy, botnets e infraestructuras de adversarios para revelar amenazas emergentes. Para más información, visite Synthient.