INCIDENTE
Google desmantela botnet XCPE de 1,3 millones de dispositivos y acusa a Videostrong
Google atribuyó con alta confianza el backdoor x.cpe a la fabricante china Videostrong, que lo habría preinstalado en equipos Android TV y vendido acceso a criminales. La empresa perdió su licencia.
Google lideró a fines de octubre de 2026 el desmantelamiento de la botnet XCPE, que según la compañía integraba más de 1,3 millones de dispositivos Android, en su mayoría decodificadores de TV (TV boxes). La operación incluyó la caída de los servidores de mando y control usados por más de una docena de familias de malware relacionadas.
Google atribuyó con alta confianza el backdoor, denominado x.cpe, a la fabricante china Videostrong Technology Co. Según su equipo de inteligencia de amenazas, la empresa habría desarrollado, desplegado y operado el backdoor y la botnet de forma intencional con fines económicos, y vendido acceso a afiliados criminales.
A diferencia de otras botnets, el malware no llegaba por vulnerabilidades ni por engaños al usuario: estaba embebido en el firmware durante la fabricación. Se ejecutaba como aplicación de sistema con privilegios elevados, desactivaba los controles de Google Play Protect y esperaba órdenes de los servidores de control para instalar otro software de forma silenciosa.
El hallazgo se conoció a través de un informe de Google publicado el 2 de noviembre de 2026 y de un reporte coordinado de la firma de ciberseguridad Synthient, que rastreó el backdoor hasta Videostrong tras encontrar el malware preinstalado en un equipo Android TV comprado a fines de 2025.
Cómo ocurrió
- Confirmado
- VideostrongFabricante chino de decodificadoresConfirmado.
- Backdoor x.cpeEmbebido en firmware de fábricaConfirmado.
- Android TV boxesMás de 1,3 millones infectadosConfirmado.
- Privilegios de sistemaDesactiva Play Protect y espera órdenesConfirmado.
- Servidores C2Comandos vía MQTT y subdominiosConfirmado.
- VideostrongVendía acceso a afiliados criminalesConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- Google afirma con alta confianza que el backdoor y la botnet fueron desarrollados y operados intencionalmente por Videostrong para obtener ganancias.
- Google desmanteló los servidores de mando y control de XCPE y de más de una docena de familias de malware vinculadas.
- Google revocó la licencia de Videostrong para fabricar dispositivos Android TV con apps y servicios de Google preinstalados y la prohibió, junto a futuros afiliados, de producir equipos certificados.
- Synthient encontró el backdoor preinstalado en un equipo MECOOL KM9PRO Max comprado a fines de 2025 y lo vinculó a Videostrong.
- Plume identificó más de una docena de dispositivos distintos conectados al servidor de control de la botnet, la mayoría de marca MECOOL.
SIN VERIFICAR O ABIERTO
- Google no precisó cuántos de los dispositivos afectados contaban con certificación de Google.
- No está claro el alcance total del daño ni cuántos usuarios finales resultaron comprometidos.
- Videostrong no se pronunció públicamente sobre las acusaciones en la información disponible.
- Google advierte que los operadores del backdoor y sus clientes criminales suelen migrar rápido a nuevas herramientas tras una disrupción.
Contexto
Videostrong, con sede en Shenzhen, fabrica decodificadores Android TV y otros dispositivos bajo su propia marca y para terceros. Según Google, el backdoor se distribuyó en múltiples modelos y marcas durante años, con una arquitectura que evolucionó para evadir la detección y atender a distintos afiliados criminales.
La botnet usaba subdominios variables según la versión de Android y el tipo de dispositivo, y un broker MQTT para enviar comandos y desplegar malware adicional. Google estima que la acción cortó el acceso a al menos 10 millones de dispositivos adicionales infectados por otras vías, entre decodificadores minoristas, máquinas de karaoke y hardware de telesalud, no todos Android.
El caso recuerda al de la botnet BadBox 2.0, por la que Google demandó en julio de 2025: en ese entonces los más de 10 millones de equipos involucrados no estaban certificados, mientras que en XCPE convivieron dispositivos certificados y equipos con la versión de código abierto de Android (AOSP).
Qué hacer
- Revisar equipos Android TV Verificar si en la red hay decodificadores MECOOL u otros equipos Android TV de marcas económicas y contrastarlos con los indicadores publicados por Google y Synthient.
- Aislar dispositivos sospechosos Desconectar de la red los equipos identificados como comprometidos y reemplazarlos por hardware de fabricantes con certificación vigente.
- Actualizar y monitorear Mantener actualizado el firmware y revisar el tráfico saliente hacia dominios desconocidos, en especial conexiones a brokers MQTT no previstos.
- Comprar por canales oficiales Adquirir dispositivos a través de distribuidores autorizados y desconfiar de equipos con apps preinstaladas que no se pueden desinstalar.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
