Google y varios socios desmantelaron XCPE. Era una red de más de 1,3 millones de decodificadores con Android TV. Venían infectados desde la fábrica. La compañía anunció la operación el 2 de noviembre de 2026.
Según Google Threat Intelligence Group, el responsable es Videostrong Technology, un fabricante de Shenzhen, China. Su marca de consumo es MECOOL. Google afirma «con alta confianza» que la empresa desarrolló y operó el backdoor con fines de lucro. Es un programa que abre una puerta oculta en el aparato.
«Que el fabricante de un dispositivo infecte intencionalmente a sus usuarios con malware es un abuso de confianza inaceptable y representa un riesgo serio para esos usuarios», dijo Google en su publicación, en traducción de El Centavo.
Como sanción, Google cortó vínculos con Videostrong y le revocó la licencia para equipos con aplicaciones de Google. Además, la vetó, junto con sus filiales futuras, para fabricar o suministrar software a dispositivos Android certificados. También eliminó las aplicaciones de Google preinstaladas en sus aparatos.
El malware venía en la partición del sistema, con privilegios altos. Por eso desinstalarlo no sirve: se reinstala al reiniciar el equipo. Según Google, puede instalar aplicaciones en silencio, ejecutar comandos, tomar capturas de pantalla y explorar la red local. Además, desactiva Google Play Protect.
Según Google, Videostrong vendía el acceso a afiliados criminales. Estos cargaban módulos de proxies residenciales, de fraude publicitario y de malware adicional. Un proxy residencial alquila la conexión a internet del dueño del aparato. Así, la actividad ilegal de terceros sale con la IP de tu casa.
Los equipos pasaron la certificación de Android porque el código malicioso se cargaba después del primer arranque. «Videostrong empleó técnicas de ofuscación para aprovechar una brecha en nuestras pruebas y cargar código malicioso después del primer arranque del dispositivo», señaló Google, en traducción de El Centavo. La compañía dice que cambió su revisión a fabricantes y la verificación de integridad del firmware.
Las cifras son de dos conjuntos distintos. Los 1,3 millones son los aparatos enrolados en la botnet. Además, Google calcula al menos 10 millones de dispositivos comprometidos. Su acceso se corta al tumbar los dominios de mando de la red. Google admite que ya había perdido acceso a esos equipos por otras redes.
Krebs on Security recogió que Synthient, una de las empresas que participó, considera conservadora la cifra de 1,3 millones. Participaron también la Policía Nacional de Japón, Lumen, HUMAN Security, Plume y TrendAI. Según Krebs, la Motion Picture Association colaboró con Synthient comprando y desarmando cajas.
BleepingComputer informó que Synthient halló el malware en una MECOOL KM9PRO Max, comprada a fines de 2025. Google dice que el malware venía en muchos modelos y marcas. Además de cajas de TV, hubo afectados equipos de telesalud, karaoke y señalización digital.
Google recomienda desconfiar de las aplicaciones que pagan por «ancho de banda no usado» o por «compartir tu internet». También aconseja dejar activo Google Play Protect. Y pide desconfiar de cajas sin marca o sin certificación de Android TV. La lista está en el sitio de Android TV de Google.
Si ya tienes un equipo afectado, la salida que se reporta es cargar un firmware limpio del fabricante. La otra es desconectar la caja de internet. BleepingComputer señala que no hay un método simple para que un usuario común detecte la infección. Sus indicadores técnicos, como los componentes x.cpe y com.oemservice, sirven a especialistas.
Fuentes: Google Threat Intelligence Group, Krebs on Security, BleepingComputer.
