Google y sus socios interrumpieron la infraestructura de XCPE, una botnet que, según la compañía, había incorporado más de 1.3 millones de dispositivos, principalmente reproductores de televisión con Android. La operación cortó canales de control, pero el software malicioso integrado en el firmware permanece en los equipos afectados.
El grupo de inteligencia de amenazas de Google atribuye con alta confianza la creación y operación deliberada de la puerta trasera a Videostrong Technology, fabricante que suministra dispositivos a distintas marcas. Según Google, la empresa vendía acceso a afiliados que utilizaban los aparatos para fraude publicitario, instalar más malware o hacer pasar tráfico por conexiones domésticas sin permiso.
Synthient, firma que colaboró en la operación, llegó a una atribución similar tras investigar la infraestructura y analizar un MECOOL KM9PRO Max adquirido a finales de 2025. En ese equipo encontró la puerta trasera preinstalada. El medio The Register informó que Videostrong no respondió de inmediato a sus consultas.
Por qué apagar los servidores no limpia el dispositivo
Una botnet es una red de equipos controlados a distancia. Al retirar dominios y servidores de control, Google y sus socios dificultaron que los operadores usaran los dispositivos por esa vía. La intervención no equivale a instalar software limpio en cada aparato.
Google explica que el componente llamado x.cpe tiene privilegios de sistema y puede reinstalarse desde una partición del dispositivo después de un reinicio. TrendAI, otra de las empresas participantes, afirma que la eliminación requiere una intervención del fabricante, una protección de la plataforma o el reemplazo del equipo.
Plume recomienda restablecer los dispositivos afectados a su configuración de fábrica porque los módulos adicionales pudieron instalar otras puertas traseras. Su informe no afirma que ese paso elimine la puerta trasera original. Synthient recomienda desconectar de la red doméstica los dispositivos desconocidos o sospechosos mientras se investigan.
Synthient publicó una lista de identificadores de modelos observados en la campaña. La firma advierte que encontrar el nombre de un modelo en ella no basta para confirmar que una unidad concreta esté infectada.
Los equipos certificados y las cifras de la operación
Plume identificó tanto dispositivos con Android de código abierto como aparatos certificados por Google dentro de la red. Google señala que se usaron técnicas de ocultamiento para superar sus pruebas y cargar código malicioso después del primer arranque; tras la investigación, modificó su proceso de revisión.
La compañía también cortó sus vínculos con Videostrong y prohibió que la empresa y sus futuras filiales fabriquen o vendan dispositivos Android certificados o suministren software a otros fabricantes certificados.
Entre el 3 de junio y el 1 de octubre de 2026, TrendAI registró 1,472,554 dispositivos infectados en más de 170 países. México figuró entre los países con más aparatos observados. Su medición corresponde a una ventana y una visibilidad distintas de las de otros participantes, por lo que no debe sumarse a la cifra conjunta de más de 1.3 millones.
Por separado, Google estima que la intervención de dominios usados por los afiliados cortará su acceso a al menos 10 millones de dispositivos adicionales comprometidos mediante otros canales. Esa cifra no describe otros 10 millones de reproductores Android TV infectados por XCPE.
