Si administrás más de un par de Android TV Box genéricos — los que no tienen marca reconocible tipo ZTE o onn, sino que llegan con nombres como "X96", "H96" o directamente sin nombre — es casi seguro que al menos uno de ellos está corriendo procesos que nunca instalaste. No es una infección que ocurrió después. Vino así de fábrica.
Cómo llega el malware al dispositivo antes de que lo enciendas
La mayoría de los STB Android de bajo costo no los fabrica una sola empresa de punta a punta. Un fabricante de placas compra un chipset (típicamente Amlogic o Rockchip), le instala un firmware Android genérico, y ese firmware pasa por varias manos — integradores, distribuidores, revendedores — antes de llegar a la caja que termina en la mano de tu cliente o en tu flota.
En cualquiera de esos pasos alguien puede (y suele) agregar aplicaciones de sistema con permisos elevados: apps de "actualización" que en realidad son adware, servicios de fondo que generan tráfico hacia servidores de terceros, o directamente componentes de botnets que usan el dispositivo como nodo de proxy. Como vienen firmadas como apps de sistema, el usuario final no puede desinstalarlas desde los ajustes normales de Android.
No hace falta que el fabricante sea "malicioso" a propósito. Muchas veces el malware entra a través de un componente de actualización de terceros (un "FOTA agent") que el fabricante integró para ahorrarse el trabajo de construir el suyo, y ese componente fue comprometido en algún punto de la cadena de distribución.
El síntoma que ves no es el problema real
El efecto más visible de estos procesos es el consumo de ancho de banda: el dispositivo genera tráfico saliente constante, incluso apagado el contenido en pantalla. Si sos un ISP o gestionás una red con muchos STB de este tipo, esto se traduce en:
- Tickets de "internet lento" que en realidad no tienen nada que ver con tu red — son procesos maliciosos consumiendo el enlace del suscriptor desde adentro.
- Degradación de rendimiento en el dispositivo mismo: CPU y RAM ocupadas por procesos en segundo plano que no aportan nada al usuario.
- Riesgo reputacional de red si el dispositivo participa en un botnet o en tráfico de ataque saliente, algo que puede terminar afectando la reputación de tu rango de IPs.
El problema es que casi ninguna herramienta de diagnóstico de red señala esto directamente. Ves el síntoma (lentitud, tráfico anómalo) pero no el origen (un proceso específico en un dispositivo específico).
Por qué no basta con "resetear" el dispositivo
Un reset de fábrica no ayuda porque el malware está en la misma imagen de fábrica: al reiniciar, vuelve. Y un factory reset remoto masivo en cientos de dispositivos activos no es una opción realista si eso significa reconfigurar cada uno a mano después.
Lo que sí funciona es identificar los paquetes específicos que están corriendo, y terminarlos de forma dirigida — sin tocar el resto del sistema, sin interacción del usuario, y de forma repetible en toda la flota. Eso es exactamente lo que hace el eliminador de procesos maliciosos de AdminSTB: una lista de bloqueo gestionada desde el dashboard que el agente aplica en cada ciclo de telemetría, en cada dispositivo, sin importar si tiene o no acceso root.
Vas a encontrar más de lo que esperás
Con el ranking de uso de red por app de AdminSTB podés ver, dispositivo por dispositivo, qué proceso está generando el tráfico y terminarlo desde el mismo dashboard.
Qué hacer si sospechás que tu flota tiene este problema
- Elegí un dispositivo representativo y revisá qué procesos de sistema no reconocés — apps con nombres genéricos, paquetes con nombres de dominio chinos poco frecuentes, o servicios de "actualización" sin marca clara.
- Cruzá esa lista con el consumo de red de cada proceso durante un período sin uso activo (de noche, por ejemplo). Un consumo constante en background es la señal más clara.
- Si confirmás la sospecha, necesitás una forma de aplicar la solución a toda la flota de una vez, no dispositivo por dispositivo — de lo contrario el problema vuelve apenas se te escapa uno.
Este último punto es el que más tiempo le cuesta a los equipos que gestionan flotas a mano. Con visibilidad centralizada y una lista de bloqueo que se aplica sola en cada check-in, pasa de ser un problema recurrente a una tarea de mantenimiento de rutina.