Google desarticula XCPE, la botnet que venía de fábrica en 1.3 millones de TV box Android: revisa la de tu recepción

Google Threat Intelligence Group (GTIG) publicó el 2 de noviembre de 2026 que, junto con socios de la industria, desmanteló XCPE, una botnet armada con un backdoor que venía instalado de fábrica en el firmware de dispositivos Android. La botnet principal tenía más de 1.3 millones de set-top boxes inscritos y, al quitar los dominios de control de los "afiliados" que rentaban el acceso, Google dice que corta la comunicación con al menos 10 millones de dispositivos comprometidos adicionales.

Lo que vuelve esto un tema de oficina y no solo de la sala de la casa: Google aclara que la gran mayoría de los equipos infectados son TV box Android, pero que también encontró pantallas de señalización digital, máquinas de karaoke y dispositivos de telemedicina. Es decir, el tipo de aparato barato que muchas PyMEs ponen en la recepción, en la sala de espera de un consultorio, en el menú digital de un restaurante o en la pantalla de promociones de una tienda, casi siempre conectado al mismo módem o switch que las computadoras de caja y administración.

Fuente: "Shutting the Door on the XCPE Botnet", Google Threat Intelligence Group, 2 de noviembre de 2026.

Qué hacía el backdoor

GTIG afirma, con alta confianza, que Videostrong desarrolló y operó intencionalmente el backdoor para ganar dinero y vendía acceso a afiliados criminales que cargaban sus propios módulos. El componente principal es x.cpe (también com.oemservice); si alguien lo desinstala, se reinstala desde la partición /oem/ al reiniciar. Lo que podían hacer los operadores, según Google:

• Proxy residencial: prestar tu conexión para tráfico de terceros, con SDK de "venta de ancho de banda" como Honeygain, IPWeb, GaGaNode, Traffmonetizer y Popanet (ligado a NetNut, red que Google ya había desarticulado).
• Fraude publicitario en segundo plano.
• Control remoto: capturas de pantalla continuas, pulsaciones de teclas inyectadas y reverse shells con permisos de sistema.
• Robo de datos: cuentas, datos del dispositivo, lista de apps y bitácoras.
• Apagar Google Play Protect e instalar apps sin avisar.

El malware también hacía reconocimiento de la red de la víctima. El reporte no dice que haya atacado otras computadoras de la red local, pero un equipo con reverse shell dentro de tu red es justo el punto de entrada que un atacante necesita.

Por qué la operación de Google no limpia tu TV box

Google tomó acciones legales para tirar los dominios y servidores de control de Videostrong y de más de una docena de familias de malware cargadas por el backdoor, vetó a Videostrong para fabricar dispositivos Android certificados y reforzó la revisión de firmware en Android TV. Pero el código sigue dentro de los equipos ya vendidos:

1. No se puede quitar desde el menú. Según Google, el backdoor vive en el firmware y el usuario no puede removerlo.
2. La certificación no bastó. Videostrong usó ofuscación para aprovechar un hueco en las pruebas de Google y cargar el código malicioso después del primer arranque.
3. El ecosistema sigue vivo. GTIG advierte que una disrupción puntual no es el final y que la inscripción silenciosa sin consentimiento sigue siendo la vía más común para convertir aparatos en nodos de proxy.

Qué hacer esta semana en tu oficina o negocio

1. Haz inventario de lo que no es computadora. TV box de la sala de espera, pantalla de promociones, menú digital, karaoke, tablet de check-in. Anota marca, modelo y a qué red está conectada cada una.
2. Sácalas de la red de trabajo. Muévelas a la red de invitados o a una VLAN aparte que no vea las computadoras, la impresora, el NAS ni el punto de venta. Si el módem del proveedor no permite separar redes, pon un router o firewall que sí lo haga.
3. Revisa la certificación. En Google Play Store, toca tu ícono de perfil y entra a Configuración > Información para ver la "Certificación de Play Protect". Para Android TV, Google remite a su lista de socios en android.com/certified/partners.
4. Busca los paquetes del reporte. Con adb shell pm list packages, busca x.cpe, com.oemservice, com.abc.nexus, com.android.system.ntp o com.android.sso.auth.handler. Encontrarlos confirma el problema; no encontrarlos no descarta un backdoor en firmware.
5. Bloquea los indicadores en tu firewall, como mqtt.szbboys[.]com, ott.szbboys[.]com, *.anyevonline[.]com y las IP 219.134.163[.]210 y .211 (puertos 3885 a 3887), y revisa en bitácoras si algún equipo les habló.
6. Si hay dudas, reemplaza. Una TV box genérica cuesta menos que una tarde de investigación. Prefiere marcas con actualizaciones publicadas y desconfía de apps que pagan por "compartir tu internet", algo que Google señala expresamente.

El riesgo real para una PyME

El problema no es que alguien vea la televisión de la sala de espera. Es que la IP pública de tu negocio queda prestada para tráfico de terceros y que dentro de tu red hay un aparato que un desconocido controla con permisos de sistema. Si ese tráfico aparece en una investigación, la dirección que sale es la tuya.

Ya vimos el patrón con servidores Plex sin actualizar que abrían la puerta al NAS y celulares Android que un SMS invisible tumba. La respuesta de fondo es la de Zero Trust: ningún dispositivo es de confianza solo por estar dentro de la oficina. Si al separar redes algo se vuelve lento, usa nuestro diagnóstico de red lenta, y ordena el resto con el plan de ciberseguridad de 4 semanas.