CyberTVLab
← Todos los artículos

Análisis · Por CYBERTVLAB ·

El problema de las botnets de TV box: de BadBox a Kimwolf

Desde hace tres años, uno de los vehículos de distribución de malware más fiables de la electrónica de consumo ha sido la TV box barata. Las campañas cambian sin cesar. Las condiciones de mercado que explotan, no.

Un patrón que se repite

Las campañas que siguen no son una única familia de malware continua. Son operaciones distintas — equipos diferentes, código diferente, infraestructura a veces solapada — que explotan una y otra vez las mismas condiciones: hardware Android de bajo coste, cadenas de suministro de firmware opacas, vías de actualización débiles o inexistentes y dispositivos que permanecen conectados, sin vigilancia, durante años.

Las raíces técnicas sí son profundas en una rama de la historia. Los investigadores de Kaspersky documentaron el troyano Triada en 2016 y lo describieron como uno de los troyanos móviles más avanzados de su época. Las puertas traseras basadas en Triada dieron a la línea BadBox su capacidad de persistir; otras campañas llegaron a los mismos dispositivos por otros caminos. Kaspersky, que ha investigado varias de estas familias, afirma haber confirmado vínculos entre Triada, Vo1d y BADBOX — infraestructura C2 compartida y un ataque de 2022 en el que mods de WhatsApp llevaban tanto Triada como BADBOX, que los investigadores describen como «un ataque conjunto de los operadores de BADBOX y Triada» — y advierte a la vez de que esas conexiones no son necesariamente transitivas.

Los capítulos para el consumidor llegaron rápido. En 2023, el equipo Satori de HUMAN Security reveló BadBox: unos 74.000 dispositivos con una puerta trasera que los investigadores describieron como basada en Triada. En septiembre de 2024, Doctor Web informó de Vo1d — una puerta trasera completamente distinta — en casi 1,3 millones de TV box Android en 197 países, implantada en la partición del sistema, sin que nunca se estableciera el vector de infección.

Luego llegó BadBox 2.0. Revelado en marzo de 2025 por HUMAN Security junto con Google, Trend Micro y la Shadowserver Foundation, infectaba alrededor de un millón de dispositivos en el momento de su divulgación — sobre todo hardware de marcas desconocidas y sin certificar: TV box, tabletas, proyectores y unidades de infoentretenimiento para automóviles de posventa. Su puerta trasera principal, BB2DOOR, se describe como basada en Triada, y llegaba a los dispositivos de tres formas: un componente preinstalado, código descargado de un servidor remoto en el primer arranque y más de 200 versiones troyanizadas de apps populares distribuidas por tiendas de terceros. Entre los modelos citados en la investigación figuran X96mini, MXQ9PRO, KM9PRO y TV98 — cuatro entradas de una lista de 56 modelos en el apéndice del informe. Esos nombres le sonarán a cualquiera que haya navegado por un mercado en busca de una «TV box inteligente».

Se observó tráfico desde 222 países, y el sinkholing de Shadowserver mostró que cerca de medio millón de dispositivos seguían conectando con sus servidores. Google dice haber actualizado Play Protect para bloquear apps con comportamiento de BadBox, y en julio de 2025 demandó a los operadores de la operación ante el tribunal federal de Nueva York — describiendo más de diez millones de dispositivos sin certificar comprometidos a lo largo de la vida de la campaña. Esa cifra y la de HUMAN son ambas ciertas, y miden cosas distintas: algo más de un millón de dispositivos observados en la divulgación, en marzo de 2025; más de diez millones reivindicados cinco meses después, para el conjunto de la operación. Ninguna de las dos es un censo preciso.

Un nombre de modelo en una lista de indicadores de una investigación no demuestra que toda unidad vendida con ese nombre esté afectada — las revisiones de hardware, las versiones de firmware y los lotes de la cadena de suministro difieren. Verifique la versión exacta antes de sacar conclusiones sobre un dispositivo que posea.

Y el patrón no se detuvo. En diciembre de 2025, XLab de QiAnXin informó de Kimwolf, una botnet DDoS de aproximadamente 1,8 millones de dispositivos Android — televisiones, set-top boxes, tabletas — con hardware de las marcas SuperBox y X96Q en su lista de víctimas, y la atribuyó, con un alto grado de confianza, al grupo Aisuru — citando, entre otras pruebas, un certificado de firma compartido y una infraestructura reutilizada. En febrero de 2026, el estudio Keenadu de Kaspersky mostró el mismo manual de cadena de suministro una capa más abajo: una puerta trasera incrustada en el firmware de dispositivos nuevos — tabletas, en todos los casos analizados por los investigadores —, incluida una app de sistema de desbloqueo facial que Kaspersky describió como el primer troyano que había encontrado dentro de un servicio de reconocimiento facial. En mayo de 2026, Kaspersky resumió sus hallazgos sobre varias unidades SuperBox examinadas a finales de 2025: un firmware que, al arrancar, contactaba con servidores de la app de mensajería Tencent QQ y del servicio de proxy «Grass» — alquilando en la práctica la conexión a Internet del propietario — y que se entregaba con un escáner de red, un analizador de tráfico y herramientas de secuestro de DNS listas para usar. En abril de 2026, esas cajas todavía se vendían abiertamente en grandes plataformas.

Esa última distinción importa, y vale para toda la cronología: los investigadores observaron las conexiones proxy; las capacidades de escaneo y DDoS se evaluaron a partir del código. «Capaz de» y «observado haciendo» son afirmaciones distintas — y ambas merecen tomarse en serio.

Por qué las TV box

Nada de esto es casualidad. Una TV box es un anfitrión casi ideal para este tipo de malware:

  • La economía premia los atajos. Fabricar un dispositivo certificado — pruebas de compatibilidad, apps de Google con licencia, una vía de actualizaciones — cuesta dinero. Precisamente suprimir esos costes es cómo una caja alcanza un precio agresivo. La infección suele ocurrir en algún punto de la cadena de suministro, y puede que la propia marca de la caja no lo sepa.
  • Siempre encendidas, rara vez vigiladas. Estos dispositivos permanecen conectados y en servicio durante años, mucho después de que alguien los hubiera parcheado — y poca gente audita jamás qué hace una caja de streaming.
  • Viven en la red doméstica. Una caja en el salón comparte el Wi-Fi con teléfonos, portátiles, NAS, cámaras y cerraduras inteligentes. El malware allí no queda aislado allí.

Para qué sirve realmente el malware

El fraude es más mundano — y más rentable — que una toma de control espectacular. La monetización documentada incluye fraude publicitario programático (anuncios y vistas web ocultos), fraude de clics, creación de cuentas falsas y una de las categorías de mayor crecimiento: los proxies residenciales. Esto último significa que un desconocido puede alquilar su conexión a Internet y aparecer en línea como usted. Desde fuera, el tráfico de su dirección IP puede acabar vinculado a fraude, spam y abuso — y las consecuencias visibles (registros bloqueados, CAPTCHA interminables, servicios que tratan su conexión como hostil) recaen sobre su hogar, no sobre el operador.

Los riesgos posteriores documentados en estas campañas incluyen toma de control de cuentas, interceptación de OTP, escaneo de la red doméstica y manipulación DNS que puede redirigir silenciosamente las conexiones de los dispositivos.

Qué ayuda de verdad

  • Prefiera dispositivos certificados. La certificación Play Protect es la línea divisoria más clara — explicamos cómo comprobar la suya en nuestra guía de dos minutos.
  • Nunca desactive la protección de la plataforma — Play Protect en dispositivos Android TV y Google TV certificados, o los controles integrados en otras plataformas — y trate las instrucciones del tipo «desactive X para terminar la instalación» como una señal de alarma.
  • Segmente su red. Ponga televisiones, cámaras, altavoces y robots aspiradora en una red Wi-Fi separada de teléfonos, ordenadores y NAS — y verifique que la separación bloquea de verdad el acceso a su red local, porque una red de invitados mal configurada da una falsa sensación de seguridad.
  • Mantenga el firmware y el router actualizados, y elimine cualquier app que no haya instalado usted mismo — tiendas adicionales, «boosters», «limpiadores».

Y si sospecha que la propia caja está comprometida — extras preinstalados que usted nunca instaló, tráfico inexplicable —, desinstalar apps puede no bastar: este tipo de implantes vive en la partición del sistema, y un restablecimiento de fábrica puede no eliminarlos. Desconéctela de su red, deje de usarla para cuentas sensibles, compruebe si el fabricante publica un firmware limpio y firmado, y sustituya el dispositivo si no se puede restablecer la cadena de confianza. Una app que se ejecuta sobre un firmware comprometido no puede ser plenamente fiable para ver o eliminar lo que hay debajo.

La buena noticia: es un problema bien documentado, con un conjunto de defensas identificable. La parte incómoda es que las mismas condiciones de mercado han producido ya una nueva operación casi cada año — y las cajas siguen en las estanterías.

Fuentes

Deltavant es una app antimalware en el dispositivo para Android TV y Google TV, actualmente en pruebas cerradas en Google Play. Más información sobre Deltavant.