Google tumba XCPE y apunta al fabricante, no al malware
Google desmanteló XCPE, una botnet escondida en el firmware de más de 1,3 millones de dispositivos Android, en su mayoría descodificadores de televisión, y vetó al fabricante chino Videostrong al atribuirle, con alta confianza, haber colocado la puerta trasera a propósito. La operación tumbó los servidores de control a finales de octubre de 2026.
La diferencia con casi cualquier incidente de malware doméstico es quién está detrás. Aquí el atacante no se coló en dispositivos ajenos: el proveedor del aparato fue el que vendió el acceso, según la investigación del Grupo de Inteligencia de Amenazas de Google (GTIG).
¿Qué es XCPE y por qué no es BadBox?
XCPE es una puerta trasera incrustada de fábrica que convertía el aparato en un peón a las órdenes de terceros. BleepingComputer detalla que el componente principal, registrado como x.cpe y com.oemservice, corría con privilegios de sistema: se reinstalaba solo tras reiniciar desde una partición protegida y desactivaba las comprobaciones de Google Play Protect para instalar software en silencio.
¿Y esto cómo se aplica en tu negocio?
Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.
👥 Quiero el Kit →El dispositivo infectado contactaba un servidor de comando y control en el dominio anyevonline[.]com para obtener credenciales de un broker MQTT (un protocolo de mensajería entre dispositivos conectados), alojado en mqtt.szbboys[.]com, desde el cual los operadores enviaban órdenes y desplegaban más malware.
Las capacidades documentadas incluyen instalar aplicaciones sin aviso, ejecutar comandos y scripts con privilegios de sistema, capturar pantallas, inyectar pulsaciones de teclado, recolectar información de cuentas y registros del sistema, y abrir shells inversos.
No confundir con BadBox 2.0: la fuente original aclara que son redes distintas. La segunda infectó más de 10 millones de cajas de televisión en 2025, todas sin certificar, antes de que Human, Google y TrendAI perturbaran la operación en marzo de 2025, según DiarioBitcoin.
El negocio estaba en revender tu conexión
La reventa de acceso era el modelo. La mayoría de los módulos convertía los dispositivos en proxies residenciales o revendía su ancho de banda, de modo que el tráfico de los atacantes parecía venir de conexiones domésticas normales. BleepingComputer identificó módulos asociados a servicios de proxy como Linkfog, AppSalt/Honeygain, GaGaNode, NetNut y Traffmonetizer, además de backdoors secundarios bautizados Moyu, Spirit y Bird. Otros módulos falseaban visionados de anuncios generando impresiones y clics.
En cifras: TrendAI contó 1.472.554 dispositivos infectados en 206 modelos entre junio y octubre de 2026, con Malasia, Brasil, Irak, México y Taiwán a la cabeza. CyberScoop añade que la red abarcó más de 170 países y que cerca de 44.000 dispositivos infectados estaban en Estados Unidos en ese periodo.
DiarioBitcoin reporta otra métrica de TrendAI: más de 3,8 millones de direcciones IP domésticas y móviles distintas vinculadas a la operación entre el 3 de junio y el 1 de octubre. Ojo con la lectura: son direcciones observadas, no dispositivos ni personas.
¿Cómo se rastreó hasta Videostrong?
La atribución no salió de una corazonada. Synthient compró a finales de 2025 una caja MECOOL KM9PRO Max y encontró el malware preinstalado. Desde ahí halló un directorio abierto en el servidor file.anyevonline[.]com que alojaba backdoors y documentos, incluido un PDF firmado por Owen Cao, director de I+D de Videostrong Technology, según BleepingComputer.
El mismo medio detalla que el dominio corporativo videostrong[.]cn apuntaba a la misma dirección IP que el servidor de comando y control, y que numerosos correos de la empresa se usaron para firmar los backdoors. Por eso Google descarta la hipótesis del empleado deshonesto: «We believe this campaign wasn’t an isolated rogue insider or a development oversight», sostiene el informe.
Charley Snyder, responsable de operaciones de disrupción de GTIG, explicó a CyberScoop que los operadores evolucionaban sus configuraciones de forma constante para evadir las detecciones previas y posteriores al lanzamiento.
¿Qué ha hecho Google y qué pasa con los dispositivos ya infectados?
Google recurrió a acciones legales para derribar los dominios y servidores que controlaban la botnet y los de más de una docena de familias de malware asociadas, con ayuda de la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI. Según la compañía, esa acción cortó el acceso a al menos 10 millones de dispositivos comprometidos adicionales.
El señalamiento es tajante: Google veta a Videostrong y a sus futuras filiales de fabricar o vender dispositivos Android certificados y de suministrar software a fabricantes certificados. La empresa, con sede en Shenzhen, escondió su código para sortear un hueco en las pruebas de compatibilidad y seguridad, cargando el código malicioso después del primer arranque. Según DiarioBitcoin, Videostrong no respondió a las consultas de The Register.
El problema para el usuario es que quitar XCPE no basta. Se reinstala al reiniciar, así que, según TrendAI, la limpieza exige una actualización del fabricante, una protección de plataforma o cambiar el aparato. BleepingComputer lo confirma: el malware se reinstala automáticamente desde la partición /oem/ y solo se elimina con firmware limpio o desconectando el dispositivo de internet.
Hay un matiz que queda abierto. Plume encontró tanto dispositivos certificados por Google como equipos con la versión libre de Android (AOSP), y Google no ha dicho cuántos de los certificados se vieron afectados.
¿Qué significa esto para tu startup?
El caso importa en España y LATAM por una razón concreta: Brasil y México están entre los cinco países con más dispositivos infectados, y la región es un mercado donde el hardware conectado barato tiene mucha penetración. Google detectó XCPE no solo en descodificadores, sino en dispositivos de telesalud, máquinas de karaoke y pantallas de señalización digital.
Si tu startup despliega hardware en campo —kioscos, signage, sensores, terminales de punto de venta— el riesgo no lo controlas tú. Lo controla quien fabricó la placa.
- Audita la procedencia del hardware antes de firmar. Pregunta por la certificación Android, pide el modelo exacto de cada lote y no aceptes «familia de producto» como respuesta. Si un proveedor no puede documentar quién firma el firmware, ese es el dato que importa.
- Incluye cláusulas de firmware y desinfección en el contrato. Como el malware se reinstala al reiniciar, la única salida es un firmware limpio del fabricante o retirar el equipo. Exige en el acuerdo quién responde por el reemplazo y en qué plazo, y qué pasa si el proveedor queda vetado del programa certificado como le pasó a Videostrong.
- Monitoriza el tráfico saliente de tu parque de dispositivos. Consumo de ancho de banda anómalo en horarios muertos o conexiones persistentes a brokers MQTT desconocidos son señales baratas de detectar y difíciles de explicar si no las viste.
- Trata el hardware barato como una decisión de seguridad, no de precio. La botnet no necesitó ingeniería social: el backdoor venía en la caja.
El riesgo que no desaparece con la botnet
Lo grave de XCPE no es el número, que es unas diez veces menor que el de BadBox. Es la naturaleza del problema: ya no es malware que se cuela por un descuido del usuario, es un producto diseñado para espiar y revender conexiones desde el minuto cero. El veto a Videostrong es contundente, pero llega después de más de un millón de aparatos vendidos, y nadie va a ir casa por casa a retirarlos.
Google dijo que también modificó su proceso de revisión de fabricantes, aunque CyberScoop precisa que no comparte los detalles para no dar pistas a futuros atacantes. Y advirtió algo que a un founder le sirve como marco: el mercado de backdoors, fraude publicitario y redes proxy residenciales es resistente y opera como una cadena de suministro interconectada. La próxima XCPE no va a tardar en aparecer; la pregunta es si tu proveedor de hardware será parte del problema o de la defensa.
Fuentes
- Google desarticula XCPE, la botnet oculta en 1,3 millones de dispositivos Android (fuente original)
- Google shuts down global botnet running on certified Android devices – CyberScoop
- One of Google’s Android partners turned 1.3 million set-top boxes into a botnet – The Verge
- Google disrupts million-device XCPE Android malware botnet, bans TV box maker – BleepingComputer
- Autoridades desmantelan a XCPE, una botnet de 1,3 millones de dispositivos Android – DiarioBitcoin
¿Y esto cómo se aplica en tu negocio?
Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.
👥 Quiero el Kit →
