Google desmantela la botnet XCPE que infecta 1.3M dispositivos Android TV
- Google interrumpió XCPE, una botnet que involucraba a más de 1,3 millones de cajas Android TV infectadas con malware preinstalado.
- La retirada bloqueó el acceso remoto de los delincuentes, pero la puerta trasera sigue integrada en el firmware de los dispositivos afectados.
- No se ha identificado ningún recall público específico de XCPE ni ninguna actualización de firmware limpio, lo que deja a los propietarios buscar soluciones o reemplazos por parte de los vendedores.
Google y sus socios interrumpieron XCPE, una botnet que involucraba a más de 1,3 millones de cajas decodificadoras Android TV, anunció la compañía el 2 de noviembre. La acción eliminó el acceso remoto de los criminales a las cajas. Sin embargo, el software malicioso sigue oculto en su firmware.
Para quienes compraron las cajas, la preocupación es qué sucederá ahora. Un análisis de los hallazgos de Google, TrendAI y Synthient, así como de la página de garantía de MECOOL el 3 de noviembre, no mostró indicios de un retiro de productos relacionado con XCPE, una actualización de firmware limpia o un esquema de reemplazo masivo que haya sido implementado. La revisión solo incluyó documentos que han sido hechos públicos, sin entrar en las respuestas específicas de ningún vendedor.
Cómo el agente preinstalado se comunicaba con el servidor central
El malware venía con el dispositivo. Google descubrió que x.cpe, conocido como com.oemservice en algunos dispositivos, estaba preinstalado en el firmware con acceso a nivel de sistema. Incluso si se elimina, se reinstala desde la partición /oem/ después de un reinicio.
Una vez que el dispositivo se encendió y estableció una conexión a Internet, el agente preinstalado comenzó a comunicarse con sus controladores y a enviar comandos a com.abc.nexus o a cargadores más recientes.
Los criminales podían usar los mensajes MQTT para instalar aplicaciones sin permiso, ejecutar comandos y grabar pantallas. Según TrendAI, la aplicación del sistema está firmada digitalmente con la clave del fabricante. Esto complicaba la capacidad de los propietarios para eliminarla.
A quién culpa Google
Google afirma estar altamente segura de que Videostrong construyó y operó deliberadamente una puerta trasera para obtener ganancias. Según se alega, el fabricante ocultó el código malicioso para evadir las verificaciones de certificación de Android.
Como respuesta, Google prohibió a Videostrong y a sus afiliados futuros fabricar dispositivos Android certificados o suministrar software a proveedores certificados. También reforzó sus controles de firmware. La Agencia Nacional de Policía de Japón y varias empresas de seguridad colaboraron con Google en la retirada del producto.
Siguiendo el rastro del dinero hacia la banda ancha doméstica
El fraude aprovechó las conexiones de internet doméstico para generar ingresos. Las cajas de TV infectadas funcionaban como proxies residenciales, proporcionando acceso a terceros sin el conocimiento de los propietarios de las cajas infectadas. Además, los atacantes implementaron programas de fraude publicitario. Entre el 3 de junio y el 1 de octubre de 2026, TrendAI monitoreó 3,85 millones de direcciones IP de salida residencial únicas.
Las conexiones a redes domésticas son útiles para los criminales, ya que su actividad parece legítima. Según el FBI, esto se debe al uso de proxies residenciales que hacen que los delincuentes parezcan consumidores comunes. Los anunciantes enfrentan peligros similares. DoubleVerify ha detectado un 140% más de esquemas y variaciones de fraude en TV conectada en el primer trimestre de 2026 en comparación con un año antes. Sin embargo, no todas estas estafas caen bajo la categoría de XCPE.
Qué cajas y qué pueden hacer los propietarios
Synthient examinó un MECOOL KM9PRO Max y listó cadenas de modelos que incluyen KM9PRO_MAX, KM7PLUS y KD3. Un nombre coincidente por sí solo no prueba la infección.
MECOOL’s warranty offers 30-day returns and one-year coverage for quality issues, but no XCPE-specific remedy. Worried owners should disconnect suspected boxes and ask sellers for a documented fix or replacement.
Por qué un C2 muerto no es el final
Google también tomó medidas contra los dominios de control de los afiliados, lo que estima que podría desconectar al menos 10 millones de dispositivos comprometidos adicionales. Estos son independientes de los 1,3 millones de XCPE.
El riesgo de una reaparición es real. Un botnet de Android TV anterior y diferente creció de 74.000 dispositivos en 2023 a más de 10 millones en 2025, como informó Cryptopolitan.
El mercado es mucho más grande aún. Grand View Research prevé unos ingresos de 318,6 mil millones de dólares en el sector de la televisión conectada a nivel mundial para 2026. Pixalate sitúa la cuota de Roku en la actividad publicitaria programática de la televisión conectada a nivel mundial en el 36 %. Ninguno de estos datos mide las pérdidas del XCPE.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Preguntas frecuentes
¿Qué es la botnet XCPE?
XCPE es una puerta trasera preinstalada en el firmware de más de 1,3 millones de dispositivos Android, principalmente cajas receptoras de TV y proyectores, que los inscribió en una botnet utilizada para fraude publicitario, tráfico de proxies residenciales y carga de malware adicional, según Google.
¿Puedo eliminar el malware con un restablecimiento de fábrica?
No de forma fiable. TrendAI indica que la instalación se ejecuta como una aplicación del sistema firmada con la clave del fabricante, por lo que su eliminación requiere la intervención del proveedor, una corrección a nivel de plataforma o un nuevo dispositivo, y el FBI advierte que algunos malwares instalados de fábrica persisten incluso después de un restablecimiento.
¿Quién considera Google responsable?
Google afirma evaluar con alta confianza que Videostrong Technology Co. construyó y monetizó intencionadamente la puerta trasera, y ha prohibido permanentemente a la empresa y a sus futuros afiliados fabricar dispositivos Android certificados o suministrar software a proveedores certificados.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Micah Abiodun
Micah Abiodun aprovecha su Maestría en Ingeniería y Gestión Ambiental (MSc) de la Universidad Tecnológica de Tallinn (TalTech) para perfeccionar noticias sobre contenido y predicciones de precios en Cryptopolitan. Ahora en su séptimo año en el espacio de medios cripto, cubre las principales criptomonedas, altcoins, DeFi, stablecoins, tendencias macroeconómicas y tecnologías emergentes.
