El 2 de noviembre de 2026, Google anunció la desarticulación de XCPE, una botnet de más de 1,3 millones de TV box Android. Según Google, el backdoor venía instalado de fábrica y su fabricante vendía el acceso a terceros. Cortaron los servidores de control, pero las cajas siguen infectadas y el malware se reinstala solo. Para un ISP, la noticia no cierra el problema: lo confirma.
En esta nota resumimos lo que se sabe hasta hoy, qué quedó sin resolver y qué puede hacer un ISP con las cajas de su base. La información sale de la cobertura de prensa del anuncio de Google (fuentes al final); no tenemos desglose de infecciones por país, así que no podemos decir cuántas cajas afectadas hay en Brasil o Argentina.
Qué pasó
- La botnet. Se llama XCPE y reunía más de 1,3 millones de dispositivos, en su gran mayoría TV box Android. El mismo backdoor apareció en otros equipos Android, como equipos de telesalud, karaokes y cartelería digital.
- El responsable. El Grupo de Inteligencia de Amenazas de Google (GTIG) lo atribuye, con confianza alta, a Videostrong Technology, un fabricante de Shenzhen. Según Google, la empresa instaló el backdoor a propósito y vendía acceso a afiliados criminales que cargaban sus propios módulos.
- La respuesta. Google derribó los servidores de control (que según sus estimaciones daban acceso a unos 10 millones de dispositivos más, infectados por otras vías), tomó acción legal contra los dominios y servidores, y rompió su relación con Videostrong: le revocó la licencia de Android TV y la vetó para fabricar dispositivos Android certificados. También cambió su proceso de certificación, porque la empresa usaba ofuscación para evadir las pruebas de seguridad.
- Los socios. Participaron Lumen (Black Lotus Labs), HUMAN Security, Plume, Synthient y TrendAI, y la policía nacional de Japón ayudó a coordinar.
Por qué es distinto de un "malware más"
La mayoría de las infecciones que se discuten en este blog llegan por una app pirata o una descarga dudosa. XCPE no: el backdoor estaba en el firmware, puesto en la línea de producción. No hay nada que el abonado haya hecho mal. Tampoco hay vulnerabilidad que parchear. Es el escenario que describimos en por qué tu Android TV Box viene con malware de fábrica, ahora con nombre, escala y un fabricante señalado por Google.
Según los informes, el backdoor corre con privilegios de sistema y puede instalar apps, desactivar Google Play Protect, ejecutar comandos, sacar capturas de pantalla, registrar teclas y abrir una shell remota. Se usó sobre todo para tres cosas: proxy residencial (alquilar la conexión del abonado a terceros), fraude publicitario e instalación de otros backdoors.
Qué significa para un ISP
El proxy residencial es lo que más le importa a un proveedor. Una caja usada como proxy deja salir por la IP del abonado tráfico que ni el abonado ni el ISP generaron: ese tráfico ocupa el acceso y el uplink (la cadena de costos que contamos en TV box genéricos en Brasil y Argentina) y además asocia la IP con actividad ajena, lo que puede traer reclamos de abuso o IPs en listas negras. Eso último es una consecuencia razonable del uso como proxy, no algo que hayamos visto medido en una red concreta.
Lo que el takedown no resolvió
Esto es lo más importante de la noticia y lo que menos se repite en los titulares:
- Google actuó sobre la infraestructura de control. Los dispositivos siguen teniendo el backdoor.
- El malware se reinstala desde la partición
/oem/, así que desinstalar una app o hacer un reset de fábrica no alcanza. Hace falta firmware limpio. - Hasta entonces, la única mitigación que citan los informes es desconectar la caja de internet.
- Desde agosto de 2026, según BleepingComputer, los operadores pasaron a droppers más chicos disfrazados de apps del sistema. Es decir, el panorama sigue moviéndose.
Synthient encontró el malware preinstalado en una MECOOL KM9PRO Max que compró a fines de 2025. Eso no significa que todas las cajas de esa marca estén afectadas: es un modelo concreto.
Qué podés hacer con tu base de cajas
Un punto de honestidad antes de la lista: AdminSTB no elimina XCPE. Su agente solo ve las cajas donde está instalado, y quitar un backdoor que se reinstala desde /oem/ requiere reemplazar el firmware, algo que está fuera de lo que hace el panel. Lo que sí ayuda es saber cuáles cajas son sospechosas y priorizarlas:
- Inventario por modelo. Armá la lista de modelos y marcas de tu flota y compará con los modelos que mencionen los informes de Google y Synthient. Si no sabés qué modelos tenés, ese es el primer hallazgo (ver la auditoría de flota).
- Lista de apps instaladas. AdminSTB muestra las apps de cada caja, con su origen de instalación y un puntaje de peligro. Buscá los paquetes
x.cpe,com.oemserviceycom.abc.nexus. Tomalo como una pista, no como un veredicto: un componente de sistema puede no aparecer, y su ausencia no prueba que la caja esté limpia. - Consumo por app y tráfico saliente. Una caja que sube datos constantemente sin que nadie mire video es sospechosa, tenga o no un paquete de esos nombres. El ranking de consumo por app es el dato para empezar.
- Consultas DNS. Los informes mencionan el dominio de control
anyevonline[.]comy el brokermqtt.szbboys[.]com. Si tenés historial de consultas DNS (por ejemplo con Pico-Server de LintraTech), buscar esos nombres identifica qué abonados tienen una caja comprometida, aunque Google ya haya intervenido los servidores. Bloquearlos en tu DNS o firewall (MoniTik ayuda a centralizar esa política en MikroTik) corta la comunicación mientras tanto. - Reemplazo o firmware limpio. Para las cajas que confirmes o sospeches, la salida real es cambiarlas por una certificada o reflashearlas con firmware confiable. En las certificadas que probamos (onn, ZTE) las actualizaciones no son silenciosas y piden confirmación en pantalla, pero el hardware pasó pruebas de compatibilidad y seguridad de Google.
AdminSTB para proveedores de internet
Inventario de modelos, apps con origen de instalación y consumo por app de toda tu flota, en un solo panel.
Qué hacer ahora
- Listá los modelos de caja de tu base y comparalos con los que nombran los informes de Google y Synthient.
- Revisá en tus logs DNS si algún abonado consultó los dominios mencionados.
- Definí cómo vas a reemplazar o reflashear las cajas que den positivo, y a quién le corresponde el costo.
- Si entregás cajas a tus abonados, exigí a tu proveedor firmware auditado y modelos certificados, o pedí garantías por escrito.
Fuentes
Datos tomados de la cobertura del anuncio de Google del 2 de noviembre de 2026. No revisamos el informe original de GTIG, así que las cifras y atribuciones son las que reporta la prensa: