Google tumba la botnet XCPE: 1,3 millones de TV box Android traían un backdoor de fábrica

Google contó el 2 de noviembre de 2026 que la semana anterior, junto con la Policía Nacional de Japón y cinco empresas, desarmó la botnet XCPE: más de 1,3 millones de cajas de TV con Android (las TV box que se enchufan al televisor) que estaban bajo control remoto de delincuentes. Lo grave es el origen: según Google, que lo evalúa con alta confianza, el backdoor venía de fábrica, dentro del firmware, y lo puso a propósito el fabricante Videostrong (con sede en Shenzhen, China, según TrendAI), que hace cajas con su marca y para otras marcas, y que vendía el acceso a otros grupos criminales.

A quién le afecta: a quien tiene una TV box Android genérica o de una marca poco conocida (MECOOL es la más nombrada por los investigadores), incluso alguna certificada por Google. Según la telemetría de TrendAI, una de las empresas que trabajó con Google, Brasil y México están entre los cinco países con más equipos detectados; Synthient, otra de las socias, también marca una presencia fuerte en los dos. Según Google, la enorme mayoría de los equipos infectados son cajas Android TV; el informe no menciona teléfonos.

Qué hacer hoy: fijate qué modelo es tu caja y si figura en la lista publicada por Synthient; mirá si Google Play la muestra como certificada, sabiendo que eso no alcanza como garantía; y si tenés dudas, sacala de tu red principal y no la uses con cuentas que te importen. Los servidores cayeron, pero el backdoor sigue instalado en cada caja.

Qué hacía el backdoor en tu caja

Google describe a XCPE como una app de sistema escondida en el firmware que se reporta a los servidores de los operadores y espera órdenes. Para instalar programas sin que te enteres, primero desactiva la verificación de apps de Google Play Protect, la protección que trae Android. Con ese acceso, Videostrong le cargaba a la caja módulos de sus socios criminales: unos hacían fraude publicitario (vistas falsas de anuncios), otros la convertían en un proxy residencial y otros bajaban más malware.

Un proxy residencial es, en criollo, alquilar tu conexión de casa a desconocidos: el tráfico de otro sale a internet con tu IP, como si fueras vos (ya contamos cómo funciona ese negocio en la nota sobre las apps que prestan tu internet). Según la medición de TrendAI, en un día típico el servicio de proxy ofrecía unas 180.000 direcciones IP hogareñas reales. Además de las TV box, Google encontró el backdoor en equipos de telemedicina, karaokes y pantallas de cartelería digital, así que también es tema para el negocio que tiene una pantalla de publicidad en la vidriera.

Cómo fijarte si tu caja está en riesgo

• Buscá el modelo. En los ajustes de la caja, en la sección de información del dispositivo, figura el nombre del modelo. Synthient publicó 182 nombres de modelo vistos en la campaña (en inglés). Hay unas veinte variantes de MECOOL (KM2, KM7, KM9PRO y otras), la marca en la que se centra el informe de Synthient, pero la mayoría son nombres genéricos, como M8S_PLUS, TX3MINI, Q96MAX o S905, y hasta una cadena Steren_INTV_1000, lo que no prueba que Steren venda cajas infectadas: la propia lista avisa que un nombre de modelo solo no confirma que tu caja esté infectada.
• Mirá la certificación. En Google Play: ícono de perfil, Configuración y Información, donde aparece si el equipo tiene la certificación de Play Protect (en una TV box el menú puede variar un poco). Una caja sin certificar no tiene registrado en Google que haya pasado sus pruebas de compatibilidad. Pero ojo: según Plume, otra de las empresas socias, la red mezclaba equipos sin certificar y equipos certificados por Google; y, según The Hacker News, al 2 de noviembre la web de Videostrong ofrecía productos que llama «Google Certified». Certificada es el piso, no el seguro.
• Pensá cómo la compraste. Si es una caja sin marca, muy barata o vendida justamente por sus «extras» para ver contenido sin pagar, entra en el perfil que describen los investigadores.

Qué hacer si sospechás de la tuya

Acá viene la parte incómoda: no hay una limpieza casera confirmada. Google no dice si un restablecimiento de fábrica la quita, y como el backdoor vive en el firmware, borrar apps no alcanza. Plume recomienda un restablecimiento completo porque los módulos pueden haber dejado otras puertas traseras, pero no dice que eso elimine XCPE. TrendAI sostiene que la limpieza requiere «acción del fabricante, protección de la plataforma o reemplazo del dispositivo» (traducido del inglés); Synthient directamente les recomienda a los usuarios deshacerse de estas cajas. Con eso, lo sensato es:

• Desconectala de tu Wi-Fi principal. Si la vas a seguir usando mientras decidís, ponela en una red de invitados o separada, lejos de la computadora donde trabajás o hacés trámites.
• No inicies sesión en cuentas importantes desde la caja. Google dice que vio a los operadores sacar capturas de pantalla en vivo, mandar pulsaciones de teclas y copiar datos de cuentas de los equipos. Si ya lo hiciste, cambiá esas contraseñas desde otro dispositivo.
• Cambiá la clave del Wi-Fi y actualizá el firmware del router, como sugiere Synthient.
• Para la próxima compra, Google recomienda comprar cajas de fabricantes reconocidos y consultar su lista de socios certificados; TrendAI suma evitar las cajas sin marca o sin certificar.
• Desconfiá de las apps que te pagan por «compartir tu internet» o tu «ancho de banda sin usar»: Google dice que son una de las vías principales con las que crecen estas redes de proxies. Y dejá Play Protect activado en el resto de tus Android.

Qué hizo Google y por qué no limpia tu caja

Google usó acciones legales para bajar los dominios y servidores con los que Videostrong controlaba la botnet, y también los de más de una docena de familias de malware que se cargaban a través de ella. Como esos grupos también se distribuyen por otras vías, Google estima que bajar esos dominios les va a cortar el acceso a al menos 10 millones de equipos infectados más. Además cortó relación con Videostrong y le prohibió, a la empresa y a sus futuras filiales, fabricar o vender dispositivos Android certificados y proveer software a otros fabricantes certificados.

También admitió un hueco propio: el backdoor venía en el firmware, pero Videostrong ofuscaba el código y cargaba lo malicioso después del primer arranque del equipo, y así esquivaba las pruebas de compatibilidad. Google dice que ya cambió su proceso de revisión y que está mejorando el control del firmware en los Android TV certificados.

El límite está en lo que no se puede bajar desde un servidor. TrendAI lo resume así: quitar los servidores cortó a los operadores de las cajas, aunque el implante sigue en cada una, y advierte que este tipo de grupos ya se rearmó antes con infraestructura nueva. Google coincide en que el mercado es resistente y que los operadores cambian de herramienta rápido. O sea: los servidores que se conocían cayeron, pero la puerta trasera sigue ahí y nada garantiza que nadie vuelva a usarla.

Por qué importa en América Latina

No es la primera vez: en octubre contamos que algunos Android baratos traen malware de fábrica y México encabeza las detecciones. Ahora, los datos de dos de las empresas que trabajaron con Google ponen a Brasil y México entre los países más afectados, junto con Malasia, Irak y Taiwán, en una red que se vio en más de 170 países. Ninguna de las fuentes da cifras para Argentina, Colombia, Chile o Perú, así que no sabemos cuántas cajas hay ahí; que no haya dato no quiere decir que no haya cajas.

Y una aclaración para no vender humo: un antivirus no te va a sacar un backdoor que vive en el firmware de una TV box. Sigue siendo útil en la computadora y el celular para lo suyo, pero no te protege de esta caja. La mejor defensa acá es más vieja: caja de un fabricante conocido y certificada, y si es dudosa, a la red de invitados o al cajón de los cables que nunca tiramos.

Fuentes

• Google Threat Intelligence Group, «Shutting the Door on the XCPE Botnet» (en inglés), 2 de noviembre de 2026, consultado el 2 de noviembre de 2026. El informe del desarme.
• TrendAI, «TrendAI Research Helps Disrupt Botnet of More Than 1.3 Million Pre-Infected Set-Top Boxes» (en inglés), 2 de noviembre de 2026. Telemetría por país, persistencia del implante y la cita sobre la limpieza.
• Synthient, «The Internals of a Badbox Operation» (en inglés), 2 de noviembre de 2026, y su lista de modelos. MECOOL, presencia por país y recomendaciones.
• Plume, «XCPE Botnet Whitepaper» (PDF en inglés), octubre de 2026. Mezcla de equipos certificados y sin certificar, y la recomendación de un restablecimiento completo.
• The Hacker News, «Google Disrupts 1.3 Million-Device Android Botnet…» (en inglés), 2 de noviembre de 2026. Las cajas que la web de Videostrong llama certificadas y por qué Plume recomienda el restablecimiento.
• Ayuda de Google Play, «Cómo verificar y corregir el estado de certificación de Play Protect», consultada el 2 de noviembre de 2026.
• Créditos de imagen: fotografía «Android TV-based Tracer set top box» de Oliwier Jaszczyszyn (kontrabanda.net), Wikimedia Commons, bajo licencia CC BY-SA 4.0, usada como caja de referencia en un fotomontaje editorial asistido por IA; logo de Android TV de Google.