Botnet de Android TV XCPE: Google Desmantela una Red de 1,3 Millones de Equipos

Google y sus socios han desmantelado una botnet de más de 1,3 millones de decodificadores de Android TV, tras concluir que el fabricante instaló deliberadamente una puerta trasera oculta en su firmware y vendió el acceso a delincuentes. La operación, centrada en XCPE, muestra cómo dispositivos baratos pueden convertirse en silencio en parte de una red criminal mundial.

La botnet de Android TV no fue resultado de pinchar un enlace falso o descargar una aplicación maliciosa. Según Google, la puerta trasera venía preinstalada, funcionaba con privilegios de sistema y podía reinstalarse cada vez que el decodificador se reiniciaba.

Puntos Clave

• Google afirma que la botnet XCPE inscribió más de 1,3 millones de dispositivos, en su mayoría decodificadores de Android TV.
• La puerta trasera, llamada x.cpe o com.oemservice, venía preinstalada en el firmware y funcionaba con privilegios de sistema.
• Google culpa a Videostrong Technology, de Shenzhen, y dice que creó y operó la puerta trasera para ganar dinero.
• Los decodificadores infectados se alquilaban como proxies residenciales y se usaban para fraude publicitario y más malware.
• Google prohibió a Videostrong fabricar dispositivos Android certificados, pero la puerta trasera sigue en los equipos ya vendidos.

Qué Pasó

Google dijo que trabajó con socios de la industria para derribar los dominios y servidores que controlaban la botnet XCPE, cortando el acceso remoto a los decodificadores infectados. Entre los socios citados figuran la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI.

El informe del Grupo de Inteligencia de Amenazas de Google, publicado el lunes, concluyó con alta confianza que la puerta trasera y la botnet fueron desarrolladas y operadas de forma intencional para obtener ganancias por Videostrong Technology Co., que vendió acceso a afiliados criminales y cargó su malware en los dispositivos.

La acción también atacó los dominios de control de los módulos de malware afiliados. Google estimó que ese paso podría cortar el acceso a al menos 10 millones de dispositivos comprometidos adicionales alcanzados por canales más allá de XCPE. Esa cifra es una estimación de acceso perdido, no una afirmación de que esos dispositivos hayan quedado limpios, y la empresa no identificó una herramienta de limpieza para consumidores.

Antecedentes y Contexto

XCPE toma su nombre de uno de los componentes centrales del malware. La puerta trasera, una aplicación de sistema conocida como x.cpe y vista en algunos dispositivos como com.oemservice, vivía dentro del firmware con acceso de sistema y se reinstalaba desde una partición protegida en cada reinicio.

TrendAI contó 1.472.554 dispositivos infectados en 206 modelos entre el 3 de junio y el 1 de octubre de 2026. Synthient estimó unos 500.000 dispositivos comprometidos activamente en línea, concentrados en Malasia, México y Brasil, y el mismo malware apareció en dispositivos de telesalud, karaoke, proyectores y señalización digital.

Botnet de Android TV: Cómo se Explotaron los Decodificadores

Una vez inscrito, un decodificador cargaba software que ponía su dirección de internet a disposición para su reventa por servicios de proxy residencial, que permiten alquilar direcciones de aspecto común para anonimizar el tráfico o falsear la ubicación. Los módulos vinculados incluyeron AppSalt, también conocido como Honeygain, Linkfog, NetNut y Traffmonetizer.

El mismo acceso se usó para fraude publicitario, con visitas o clics falsos, y para distribuir más malware. Google dijo que observó usos más intrusivos, como capturas de pantalla en vivo, pulsaciones inyectadas, datos de cuentas extraídos y accesos remotos al decodificador.

La atribución se apoya en varias líneas. Google halló que x.cpe pasaba ajustes a otras aplicaciones de Videostrong, incluida YokaTV Player, y que una cuenta de GitHub que alojaba los paquetes se llamaba yf-videostrong. Synthient compró un MECOOL KM9PRO Max y confirmó que la puerta trasera venía preinstalada, mientras Plume vio más de una docena de dispositivos, la mayoría MECOOL, comunicándose con el servidor de control.

Reacciones y Declaraciones

La evaluación de Google fue directa: Videostrong monetizó la puerta trasera vendiendo acceso a afiliados criminales y cargando su malware en los dispositivos infectados, pese a las pruebas de compatibilidad y seguridad exigidas a los fabricantes de Android.

Los investigadores subrayaron que cortar los servidores es solo la mitad del trabajo. La puerta trasera sigue en los equipos ya vendidos, y los documentos públicos revisados el 3 de noviembre no indicaban ninguna retirada, actualización limpia ni sustitución masiva.

Por Qué Importa

La operación importa por tres razones. Primero, la escala: 1,3 millones de dispositivos es una botnet grande, y los 10 millones adicionales estimados por la infraestructura afiliada muestran cómo una sola puerta trasera puede alimentar muchas operaciones criminales. Segundo, el sigilo: las víctimas no necesitaban hacer nada incorrecto, así que un decodificador que funciona con normalidad mientras alquila en secreto la conexión casi no deja rastro. Tercero, la confianza: la ganga de un equipo barato se derrumba cuando se acusa al propio fabricante de ser el operador.

Qué Sigue

A corto plazo, la operación debería reducir la actividad de la botnet, ya que los decodificadores ya no pueden alcanzar sus antiguos servidores de control. Los afiliados buscarán otra infraestructura, y los investigadores vigilarán si los dispositivos se reconectan a nuevos dominios.

Para los propietarios, el siguiente paso es la identificación. Quien tenga un decodificador barato de Android TV, en particular un modelo MECOOL o fabricado por Videostrong, debería comprobar la marca y el modelo, buscar avisos del proveedor y considerar sustituir un equipo que no pueda verificarse como limpio.

Preguntas Frecuentes

¿Qué es la botnet XCPE? XCPE es una puerta trasera y botnet instalada en el firmware de más de 1,3 millones de dispositivos Android, en su mayoría decodificadores de TV, usada para fraude publicitario, tráfico de proxy residencial y más malware.

¿A quién culpa Google? Google concluye con alta confianza que Videostrong Technology, de Shenzhen, desarrolló, desplegó y operó la puerta trasera de forma intencional para ganar dinero, vendiendo acceso a afiliados criminales.

¿Pueden los propietarios eliminar la puerta trasera? No, según los informes. Funciona con privilegios de sistema desde una partición protegida y se reinstala al reiniciar, así que su eliminación exige acción del proveedor, protección de la plataforma o sustituir el dispositivo.

¿La operación limpia los decodificadores infectados? No. Cortó los servidores de control y la infraestructura afiliada, pero el malware sigue en el firmware de los equipos ya vendidos.

¿Cómo sé si mi decodificador está afectado? Comprueba si tu equipo es un modelo fabricado por Videostrong o de marca MECOOL, vigila los avisos del proveedor y sustituye cualquier decodificador barato de Android que no puedas verificar como limpio.

Cobertura relacionada: La salida a bolsa de Anthropic y el auge del gasto en IA, La captación de 95.000 millones de Meta para IA y La prueba de resultados de las grandes tecnológicas sobre el gasto en IA.