Botnet BadBox 2.0: qué es y cómo proteger tus dispositivos
BadBox 2.0 es una botnet formada por dispositivos Android baratos y sin certificar. El equipo de inteligencia de amenazas Satori de HUMAN Security, que la reveló en 2025, dice haber identificado más de 1 millón de dispositivos infectados en 222 países y territorios, frente a unos 74.000 del BadBox original de 2023. Esto es lo que es y cómo defenderte. Todas las cifras de abajo son de HUMAN o del FBI, atribuidas en el texto.
Qué es BadBox 2.0
Es una botnet compuesta por dispositivos Android de bajo costo y sin certificar: cajas de streaming para TV, tabletas, proyectores y hardware similar basado en Android Open Source Project (AOSP) y sin certificación de Google Play Protect. El equipo Satori de HUMAN reportó más de 1 millón de dispositivos infectados, un gran salto respecto a los unos 74.000 del esquema BadBox original. El IC3 del FBI de EE. UU. publicó un anuncio de servicio público el 5 de junio de 2025 que confirmaba millones de dispositivos comprometidos y enumeraba cajas de smart TV, proyectores digitales, sistemas de infoentretenimiento de vehículos, marcos de fotos digitales y otros dispositivos IoT.
Cómo se infectan los dispositivos
HUMAN describe dos vías:
- Puerta trasera en la cadena de suministro. Algunos dispositivos llegan ya comprometidos: el malware está presente antes de abrir la caja. Como viene de fábrica, un restablecimiento de fábrica no lo elimina de forma fiable.
- Apps troyanizadas. Otros dispositivos se infectan después de la compra mediante apps con código cargador, a menudo de tiendas de apps no oficiales.
En ambos casos, el dispositivo se conecta después a la infraestructura del atacante y se une a la botnet.
Para qué se usa
HUMAN vincula BadBox 2.0 a varios esquemas de fraude que funcionan en el hardware de la víctima:
- Fraude publicitario programático: cargar anuncios y hacer clic en ellos de forma invisible en segundo plano.
- Fraude de clics.
- Proxyjacking: revender la conexión a internet del dispositivo como proxy residencial, para que otros delincuentes enruten su tráfico a través de una IP doméstica real.
- Operación general de botnet: los dispositivos actúan como nodos para lo que los operadores vendan a continuación.
El hilo común es monetizar el dispositivo y el ancho de banda de otra persona sin que lo sepa.
Cómo se desarticuló
HUMAN colaboró con Google, Trend Micro, Shadowserver y las fuerzas del orden en una disrupción que describe como parcial: los operadores siguieron activos y HUMAN dijo que continuaba investigando otras vías. Google retiró las apps implicadas y se defiende de la amenaza con Play Protect. Una acción anterior contra los servidores de comando y control del BadBox original se describió como solo un revés temporal. En otras palabras: dañada de forma significativa, no eliminada.
Cómo proteger tus dispositivos
Consumidores: evita las cajas Android genéricas y sin marca; prefiere dispositivos que vengan con Google Play Protect; desconfía de cualquier dispositivo o app que te pida desactivar Play Protect; mantén el firmware actualizado; y trata un tráfico de red intenso e inesperado como una señal de alarma. Como muchas infecciones vienen preinstaladas, la solución más segura suele ser dejar de usar el dispositivo afectado.
Empresas: trata los dispositivos de consumo e IoT como no confiables. Cuatro medidas:
- Segmenta los dispositivos IoT y de consumo lejos de los sistemas sensibles con controles de red; practica las reglas en el Firewall Rule Lab.
- Monitorea el tráfico de salida. Tanto el beaconing de comando y control como el proxyjacking aparecen como tráfico saliente anómalo; establece una línea base del tráfico de salida normal y alerta sobre el resto en el Egress / Proxy Lab →, y escribe detecciones para el patrón de beaconing en el Detection Lab.
- Revisa la cadena de suministro. Amplía la política de compras para excluir los dispositivos sin certificar y acota el riesgo de los dispositivos con un modelo de amenazas estructurado.
- Ten lista una respuesta. Ensaya el aislamiento y la remediación de un dispositivo comprometido en el IR Playbook Lab.
Preguntas frecuentes
¿BadBox 2.0 en una línea? Una botnet de más de 1 millón de dispositivos Android sin certificar (HUMAN Security) usada para fraude publicitario, fraude de clics y abuso de proxies residenciales, propagada mediante puertas traseras en la cadena de suministro y apps troyanizadas.
¿Corren riesgo mi teléfono y mis dispositivos certificados? El esquema apunta a hardware Android genérico sin certificar, no a teléfonos y tabletas con certificación de Play Protect.
¿Lo arregla un restablecimiento de fábrica? A menudo no: las infecciones preinstaladas o de la cadena de suministro pueden sobrevivir a un restablecimiento; lo más seguro es dejar de usar el dispositivo.
¿Cuál es la conclusión para las empresas? Segmenta el IoT no confiable, monitorea el tráfico de salida en busca de comportamiento de C2 y de proxy, y excluye el hardware sin certificar de las compras.
Preguntas frecuentes
¿Qué es BadBox 2.0?
BadBox 2.0 es una botnet compuesta por dispositivos Android baratos y comprometidos. El equipo de inteligencia de amenazas Satori de HUMAN Security, que la reveló en 2025, dice haber identificado más de 1 millón de dispositivos infectados, sobre todo hardware Android Open Source Project (AOSP) sin certificar como cajas de streaming para TV, tabletas y proyectores, con tráfico observado desde 222 países y territorios. Es la sucesora del BadBox original (2023), que afectó a unos 74.000 dispositivos.
¿Cómo se infectan los dispositivos con BadBox?
De dos formas, según la investigación de HUMAN. Algunos dispositivos llegan ya con una puerta trasera: un compromiso de la cadena de suministro en el que el malware está presente antes de sacar el dispositivo de la caja. Otros se infectan después de la compra mediante apps troyanizadas con código cargador, a menudo de tiendas de apps no oficiales. En ambos casos el dispositivo se conecta después a la infraestructura del atacante y se une a la botnet. Como el compromiso suele venir preinstalado, un restablecimiento de fábrica no lo elimina de forma fiable.
¿Para qué se usa BadBox 2.0?
HUMAN la vincula a varios esquemas de fraude: fraude publicitario programático (cargar anuncios y hacer clic en ellos de forma invisible en segundo plano), fraude de clics y proxyjacking, es decir, revender la conexión a internet del dispositivo de la víctima como proxy residencial para que otros delincuentes enruten tráfico a través de una IP doméstica real. Los dispositivos comprometidos también funcionan como nodos de botnet de uso general. El hilo común es monetizar el hardware y el ancho de banda de otra persona sin que lo sepa.
¿Qué dispositivos están afectados?
Principalmente dispositivos Android baratos y sin certificar, sin certificación de Play Protect: el aviso IC3 del FBI enumera cajas de smart TV, proyectores digitales, sistemas de infoentretenimiento de vehículos, marcos de fotos digitales y otros dispositivos IoT. Los teléfonos y tabletas Android certificados por Google (los que vienen con Google Play Protect) no son el objetivo de este esquema. El riesgo se concentra en cajas de streaming sin marca o genéricas y hardware similar.
¿Cómo se desarticuló BadBox 2.0?
HUMAN colaboró con Google, Trend Micro, Shadowserver y las fuerzas del orden en la disrupción, que HUMAN describe como parcial: los operadores siguieron activos y HUMAN dijo que continuaba investigando otras vías de disrupción. Google retiró las apps implicadas y usa Play Protect contra la amenaza; una acción anterior de una agencia alemana contra los servidores de comando y control del BadBox original se describió como solo un revés temporal. El FBI de EE. UU. publicó un PSA de IC3 el 5 de junio de 2025 que confirmaba la escala.
¿Cómo sé si un dispositivo está infectado y qué debo hacer?
Las señales de alerta incluyen un dispositivo Android genérico sin certificación de Play Protect, peticiones para desactivar Google Play Protect, tráfico de red inesperado o intenso, y apps o una tienda de apps ajenas al canal oficial. Pasos prácticos: evita el hardware Android genérico sin certificar; compra dispositivos que vengan con Google Play Protect; mantén los dispositivos actualizados; y en tu red, vigila el tráfico saliente en busca de beaconing y patrones propios de un proxy. Como muchas infecciones vienen preinstaladas, la remediación más segura suele ser dejar de usar el dispositivo afectado.
¿Qué deberían hacer las empresas ante amenazas del tipo BadBox?
Trata los dispositivos de consumo e IoT como no confiables en tu red: segméntalos lejos de los sistemas sensibles, establece una línea base de su tráfico de salida y monitoréalo para que el beaconing de comando y control y el proxyjacking destaquen, bloquea los destinos maliciosos conocidos y amplía tu política de compras de hardware para excluir los dispositivos sin certificar. El patrón defensivo (escrutinio de la cadena de suministro, monitoreo del tráfico de salida y segmentación) se aplica mucho más allá de esta botnet.