✨︎ Resumen (TL;DR):
- Google y sus socios interrumpieron la infraestructura de control de XCPE, una botnet que incorporó principalmente reproductores Android TV.
- La red incorporó, según Google, más de 1.3 millones de dispositivos; en otra medición, TrendAI registró 1,472,554 equipos infectados en más de 170 países.
- El malware x.cpe tiene privilegios de sistema y puede reinstalarse después de un reinicio, así que apagar los servidores no limpia el equipo.
Google y sus socios interrumpieron la infraestructura de control de la botnet XCPE para dificultar el acceso remoto de sus operadores. La red había incorporado, según Google, más de 1.3 millones de dispositivos, principalmente reproductores Android TV, pero el software malicioso integrado en el firmware permanece en los equipos afectados.
Una botnet es una red de equipos que sus operadores controlan a distancia. Retirar sus dominios y servidores de control dificulta el uso de los dispositivos por esa vía, pero no instala software limpio en cada aparato. La operación cortó los canales de mando, no eliminó el código que ya estaba integrado en el firmware.
x.cpe puede reinstalarse tras un reinicio
Google explica que el componente x.cpe tiene privilegios de sistema y puede reinstalarse desde una partición del dispositivo después de un reinicio. Por eso, reiniciar el equipo o retirar sus servidores de control no equivale a eliminar la puerta trasera.
TrendAI afirma que la eliminación requiere una intervención del fabricante, una protección de la plataforma o el reemplazo del dispositivo. Plume recomienda restablecer a la configuración de fábrica los equipos afectados porque los módulos adicionales pudieron instalar otras puertas traseras. Su informe no afirma que ese paso elimine la puerta trasera original.
Las recomendaciones disponibles son acotadas:
- Desconectar de la red doméstica los dispositivos desconocidos o sospechosos mientras se investiga el caso, como recomienda Synthient.
- Restablecer de fábrica los dispositivos afectados, siguiendo la recomendación de Plume, sin asumir que eso borra la puerta trasera original.
- No confirmar una infección solo por el modelo: Synthient publicó una lista de identificadores de modelos observados en la campaña, pero encontrar un nombre en ella no basta para confirmar que una unidad específica esté infectada.
Google atribuye la puerta trasera a Videostrong
El grupo de inteligencia de amenazas de Google atribuye con alta confianza a Videostrong Technology la creación de esta puerta trasera y su operación deliberada. Videostrong es un fabricante que suministra dispositivos a distintas marcas.
Según Google, Videostrong vendía acceso a afiliados que usaban los aparatos para fraude publicitario, instalar más malware o hacer pasar tráfico por conexiones domésticas sin permiso.
Synthient llegó a una atribución similar tras investigar la infraestructura y analizar un MECOOL KM9PRO Max adquirido a finales de 2025. La firma encontró la puerta trasera preinstalada en ese equipo. The Register informó que Videostrong no respondió de inmediato a sus consultas.
También hubo equipos certificados por Google
Plume identificó tanto dispositivos con Android de código abierto como aparatos certificados por Google dentro de la red. Google señala que las técnicas de ocultamiento permitieron superar sus pruebas y cargar código malicioso después del primer arranque. Tras la investigación, Google modificó su proceso de revisión.
Google también cortó sus vínculos con Videostrong y prohibió que la empresa y sus futuras filiales fabricaran o vendieran dispositivos Android certificados por Google, o suministraran software a otros fabricantes certificados.
Las cifras no se pueden sumar sin contexto
Entre el 3 de junio y el 1 de octubre de 2026, TrendAI registró 1,472,554 dispositivos infectados en más de 170 países. México figuró entre los países con más aparatos observados.
La medición de TrendAI usó una ventana temporal y un nivel de visibilidad distintos a los de otras mediciones. Por eso, no corresponde sumar los 1,472,554 dispositivos a la cifra conjunta de más de 1.3 millones.
Por separado, Google estima que la intervención de los dominios usados por los afiliados cortará el acceso a al menos 10 millones de dispositivos adicionales comprometidos mediante otros canales. Esa cifra no describe otros 10 millones de reproductores Android TV infectados por XCPE.
El corte de dominios reduce el control remoto, pero no limpia el firmware. TrendAI señala que la eliminación requiere una intervención del fabricante, una protección de la plataforma o el reemplazo del equipo; Plume no confirma que el restablecimiento de fábrica borre la puerta trasera original.
