1.3 millones de Android TV expuestos mientras Google desmantela la botnet XCPE

Google y sus socios interrumpieron XCPE, una botnet que involucraba a más de 1,3 millones de cajas decodificadoras Android TV, anunció la compañía el 2 de noviembre. La acción eliminó el acceso remoto de los criminales a las cajas. Sin embargo, el software malicioso sigue oculto en su firmware.

Para quienes compraron las cajas, la preocupación es qué sucederá ahora. Un análisis de los hallazgos de Google, TrendAI y Synthient, así como de la página de garantía de MECOOL el 3 de noviembre, no mostró indicios de un retiro de productos relacionado con XCPE, una actualización de firmware limpia o un esquema de reemplazo masivo que haya sido implementado. La revisión solo incluyó documentos que han sido hechos públicos, sin entrar en las respuestas específicas de ningún vendedor.

Cómo el agente preinstalado se comunicaba con el servidor central

El malware venía con el dispositivo. Google descubrió que x.cpe, conocido como com.oemservice en algunos dispositivos, estaba preinstalado en el firmware con acceso a nivel de sistema. Incluso si se elimina, se reinstala desde la partición /oem/ después de un reinicio.

Una vez que el dispositivo se encendió y estableció una conexión a Internet, el agente preinstalado comenzó a comunicarse con sus controladores y a enviar comandos a com.abc.nexus o a cargadores más recientes.

Los criminales podían usar los mensajes MQTT para instalar aplicaciones sin permiso, ejecutar comandos y grabar pantallas. Según TrendAI, la aplicación del sistema está firmada digitalmente con la clave del fabricante. Esto complicaba la capacidad de los propietarios para eliminarla.

A quién culpa Google

Google afirma estar altamente segura de que Videostrong construyó y operó deliberadamente una puerta trasera para obtener ganancias. Según se alega, el fabricante ocultó el código malicioso para evadir las verificaciones de certificación de Android.

Como respuesta, Google prohibió a Videostrong y a sus afiliados futuros fabricar dispositivos Android certificados o suministrar software a proveedores certificados. También reforzó sus controles de firmware. La Agencia Nacional de Policía de Japón y varias empresas de seguridad colaboraron con Google en la retirada del producto.

Siguiendo el rastro del dinero hacia la banda ancha doméstica

El fraude aprovechó las conexiones de internet doméstico para generar ingresos. Las cajas de TV infectadas funcionaban como proxies residenciales, proporcionando acceso a terceros sin el conocimiento de los propietarios de las cajas infectadas. Además, los atacantes implementaron programas de fraude publicitario. Entre el 3 de junio y el 1 de octubre de 2026, TrendAI monitoreó 3,85 millones de direcciones IP de salida residencial únicas.

Las conexiones a redes domésticas son útiles para los criminales, ya que su actividad parece legítima. Según el FBI, esto se debe al uso de proxies residenciales que hacen que los delincuentes parezcan consumidores comunes. Los anunciantes enfrentan peligros similares. DoubleVerify ha detectado un 140% más de esquemas y variaciones de fraude en TV conectada en el primer trimestre de 2026 en comparación con un año antes. Sin embargo, no todas estas estafas caen bajo la categoría de XCPE.

Qué cajas y qué pueden hacer los propietarios

Synthient examinó un MECOOL KM9PRO Max y listó cadenas de modelos que incluyen KM9PRO_MAX, KM7PLUS y KD3. Un nombre coincidente por sí solo no prueba la infección.

La garantía de MECOOL ofrece devoluciones en un plazo de 30 días y cobertura por un año para problemas de calidad, pero no prevé un recurso específico para XCPE. Los propietarios preocupados deberían desconectar los equipos sospechosos y solicitar a los vendedores una solución documentada o un reemplazo.

Por qué un C2 muerto no es el final

Google también tomó medidas contra los dominios de control de los afiliados, lo que estima que podría desconectar al menos 10 millones de dispositivos comprometidos adicionales. Estos son independientes de los 1,3 millones de XCPE.

El riesgo de una reaparición es real. Un botnet de Android TV anterior y diferente creció de 74.000 dispositivos en 2023 a más de 10 millones en 2025, como informó Cryptopolitan.

El mercado es mucho más grande aún. Grand View Research prevé unos ingresos de 318,6 mil millones de dólares en el sector de la televisión conectada a nivel mundial para 2026. Pixalate sitúa la cuota de Roku en la actividad publicitaria programática de la televisión conectada a nivel mundial en el 36 %. Ninguno de estos datos mide las pérdidas del XCPE.

No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.