[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/xcpe-botnet-tv-box-android-recepcion-red-oficina":3,"prev-/blog/noticias/xcpe-botnet-tv-box-android-recepcion-red-oficina":438,"next-/blog/noticias/xcpe-botnet-tv-box-android-recepcion-red-oficina":415,"related-/blog/noticias/xcpe-botnet-tv-box-android-recepcion-red-oficina":441,"author-Diego Herrera":460},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":391,"cta":392,"date":398,"dateModified":398,"description":399,"draft":400,"extension":401,"faq":402,"featured":400,"howto":415,"image":416,"imageAlt":417,"intent":418,"keywords":419,"meta":424,"navigation":425,"path":426,"publishedTime":427,"readingTime":428,"seo":429,"seoTitle":430,"stem":431,"tags":432,"__hash__":437},"blog/blog/noticias/xcpe-botnet-tv-box-android-recepcion-red-oficina.md","Google desarticula XCPE, la botnet que venía de fábrica en 1.3 millones de TV box Android: revisa la de tu recepción","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":382},"minimark",[11,36,43,119,122,127,151,190,201,204,208,215,239,247,251,335,339,346,373],[12,13,14,15,19,20,23,24,27,28,31,32,35],"p",{},"Google Threat Intelligence Group (GTIG) publicó el ",[16,17,18],"strong",{},"2 de noviembre de 2026"," que, junto con socios de la industria, ",[16,21,22],{},"desmanteló XCPE",", una botnet armada con un backdoor que venía ",[16,25,26],{},"instalado de fábrica"," en el firmware de dispositivos Android. La botnet principal tenía ",[16,29,30],{},"más de 1.3 millones de set-top boxes"," inscritos y, al quitar los dominios de control de los \"afiliados\" que rentaban el acceso, Google dice que corta la comunicación con ",[16,33,34],{},"al menos 10 millones de dispositivos comprometidos adicionales",".",[12,37,38,39,42],{},"Lo que vuelve esto un tema de oficina y no solo de la sala de la casa: Google aclara que la gran mayoría de los equipos infectados son TV box Android, pero que también encontró ",[16,40,41],{},"pantallas de señalización digital, máquinas de karaoke y dispositivos de telemedicina",". Es decir, el tipo de aparato barato que muchas PyMEs ponen en la recepción, en la sala de espera de un consultorio, en el menú digital de un restaurante o en la pantalla de promociones de una tienda, casi siempre conectado al mismo módem o switch que las computadoras de caja y administración.",[44,45,46,59],"table",{},[47,48,49],"thead",{},[50,51,52,56],"tr",{},[53,54,55],"th",{},"Dato",[53,57,58],{},"Qué dice Google",[60,61,62,71,79,87,95,103,111],"tbody",{},[50,63,64,68],{},[65,66,67],"td",{},"Publicación",[65,69,70],{},"2 de noviembre de 2026, blog de Google Threat Intelligence",[50,72,73,76],{},[65,74,75],{},"Responsable según Google",[65,77,78],{},"Videostrong Technology Co., fabricante (OEM/ODM) de dispositivos Android",[50,80,81,84],{},[65,82,83],{},"Equipos en la botnet principal",[65,85,86],{},"Más de 1.3 millones de set-top boxes",[50,88,89,92],{},[65,90,91],{},"Acceso cortado a afiliados",[65,93,94],{},"Al menos 10 millones de dispositivos adicionales",[50,96,97,100],{},[65,98,99],{},"Otros equipos infectados",[65,101,102],{},"Señalización digital, karaoke, telemedicina",[50,104,105,108],{},[65,106,107],{},"Cómo se instala",[65,109,110],{},"Preinstalado en el firmware; se reinstala solo al reiniciar",[50,112,113,116],{},[65,114,115],{},"Socios",[65,117,118],{},"Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI",[12,120,121],{},"Fuente: \"Shutting the Door on the XCPE Botnet\", Google Threat Intelligence Group, 2 de noviembre de 2026.",[123,124,126],"h2",{"id":125},"qué-hacía-el-backdoor","Qué hacía el backdoor",[12,128,129,130,133,134,138,139,142,143,150],{},"GTIG afirma, con alta confianza, que Videostrong ",[16,131,132],{},"desarrolló y operó intencionalmente"," el backdoor para ganar dinero y vendía acceso a afiliados criminales que cargaban sus propios módulos. El componente principal es ",[135,136,137],"code",{},"x.cpe"," (también ",[135,140,141],{},"com.oemservice","); si alguien lo desinstala, ",[16,144,145,146,149],{},"se reinstala desde la partición ",[135,147,148],{},"/oem/"," al reiniciar",". Lo que podían hacer los operadores, según Google:",[152,153,154,161,167,178,184],"ul",{},[155,156,157,160],"li",{},[16,158,159],{},"Proxy residencial",": prestar tu conexión para tráfico de terceros, con SDK de \"venta de ancho de banda\" como Honeygain, IPWeb, GaGaNode, Traffmonetizer y Popanet (ligado a NetNut, red que Google ya había desarticulado).",[155,162,163,166],{},[16,164,165],{},"Fraude publicitario"," en segundo plano.",[155,168,169,172,173,177],{},[16,170,171],{},"Control remoto",": capturas de pantalla continuas, pulsaciones de teclas inyectadas y ",[174,175,176],"em",{},"reverse shells"," con permisos de sistema.",[155,179,180,183],{},[16,181,182],{},"Robo de datos",": cuentas, datos del dispositivo, lista de apps y bitácoras.",[155,185,186,189],{},[16,187,188],{},"Apagar Google Play Protect"," e instalar apps sin avisar.",[12,191,192,193,196,197,200],{},"El malware también hacía reconocimiento de la red de la víctima. El reporte ",[16,194,195],{},"no dice"," que haya atacado otras computadoras de la red local, pero un equipo con ",[174,198,199],{},"reverse shell"," dentro de tu red es justo el punto de entrada que un atacante necesita.",[202,203],"ad-banner",{},[123,205,207],{"id":206},"por-qué-la-operación-de-google-no-limpia-tu-tv-box","Por qué la operación de Google no limpia tu TV box",[12,209,210,211,214],{},"Google tomó acciones legales para tirar los dominios y servidores de control de Videostrong y de más de una docena de familias de malware cargadas por el backdoor, ",[16,212,213],{},"vetó a Videostrong"," para fabricar dispositivos Android certificados y reforzó la revisión de firmware en Android TV. Pero el código sigue dentro de los equipos ya vendidos:",[216,217,218,224,233],"ol",{},[155,219,220,223],{},[16,221,222],{},"No se puede quitar desde el menú."," Según Google, el backdoor vive en el firmware y el usuario no puede removerlo.",[155,225,226,229,230,35],{},[16,227,228],{},"La certificación no bastó."," Videostrong usó ofuscación para aprovechar un hueco en las pruebas de Google y cargar el código malicioso ",[16,231,232],{},"después del primer arranque",[155,234,235,238],{},[16,236,237],{},"El ecosistema sigue vivo."," GTIG advierte que una disrupción puntual no es el final y que la inscripción silenciosa sin consentimiento sigue siendo la vía más común para convertir aparatos en nodos de proxy.",[240,241,244],"callout",{"icon":242,"title":243},"i-lucide-info","Lo que el reporte no dice",[12,245,246],{},"Google no publica marcas ni modelos afectados, y México y Latinoamérica no se mencionan en el texto. No asumas que tu equipo está limpio porque no reconoces el fabricante: muchas TV box genéricas se venden con marcas distintas a la de quien las fabrica.",[123,248,250],{"id":249},"qué-hacer-esta-semana-en-tu-oficina-o-negocio","Qué hacer esta semana en tu oficina o negocio",[216,252,253,259,269,279,305,329],{},[155,254,255,258],{},[16,256,257],{},"Haz inventario de lo que no es computadora."," TV box de la sala de espera, pantalla de promociones, menú digital, karaoke, tablet de check-in. Anota marca, modelo y a qué red está conectada cada una.",[155,260,261,264,265,268],{},[16,262,263],{},"Sácalas de la red de trabajo."," Muévelas a la red de invitados o a una VLAN aparte que ",[16,266,267],{},"no"," vea las computadoras, la impresora, el NAS ni el punto de venta. Si el módem del proveedor no permite separar redes, pon un router o firewall que sí lo haga.",[155,270,271,274,275,278],{},[16,272,273],{},"Revisa la certificación."," En Google Play Store, toca tu ícono de perfil y entra a ",[16,276,277],{},"Configuración > Información"," para ver la \"Certificación de Play Protect\". Para Android TV, Google remite a su lista de socios en android.com/certified/partners.",[155,280,281,284,285,288,289,291,292,291,294,291,297,300,301,304],{},[16,282,283],{},"Busca los paquetes del reporte."," Con ",[135,286,287],{},"adb shell pm list packages",", busca ",[135,290,137],{},", ",[135,293,141],{},[135,295,296],{},"com.abc.nexus",[135,298,299],{},"com.android.system.ntp"," o ",[135,302,303],{},"com.android.sso.auth.handler",". Encontrarlos confirma el problema; no encontrarlos no descarta un backdoor en firmware.",[155,306,307,310,311,291,314,291,317,320,321,324,325,328],{},[16,308,309],{},"Bloquea los indicadores en tu firewall",", como ",[135,312,313],{},"mqtt.szbboys[.]com",[135,315,316],{},"ott.szbboys[.]com",[135,318,319],{},"*.anyevonline[.]com"," y las IP ",[135,322,323],{},"219.134.163[.]210"," y ",[135,326,327],{},".211"," (puertos 3885 a 3887), y revisa en bitácoras si algún equipo les habló.",[155,330,331,334],{},[16,332,333],{},"Si hay dudas, reemplaza."," Una TV box genérica cuesta menos que una tarde de investigación. Prefiere marcas con actualizaciones publicadas y desconfía de apps que pagan por \"compartir tu internet\", algo que Google señala expresamente.",[123,336,338],{"id":337},"el-riesgo-real-para-una-pyme","El riesgo real para una PyME",[12,340,341,342,345],{},"El problema no es que alguien vea la televisión de la sala de espera. Es que la ",[16,343,344],{},"IP pública"," de tu negocio queda prestada para tráfico de terceros y que dentro de tu red hay un aparato que un desconocido controla con permisos de sistema. Si ese tráfico aparece en una investigación, la dirección que sale es la tuya.",[12,347,348,349,324,354,358,359,363,364,368,369,35],{},"Ya vimos el patrón con ",[350,351,353],"a",{"href":352},"/blog/noticias/plex2shell-plex-media-server-explotado-nas","servidores Plex sin actualizar que abrían la puerta al NAS",[350,355,357],{"href":356},"/blog/noticias/android-sms-of-death-wap-push-reinicios-parche-octubre","celulares Android que un SMS invisible tumba",". La respuesta de fondo es la de ",[350,360,362],{"href":361},"/blog/tendencias/zero-trust-seguridad-empresarial","Zero Trust",": ningún dispositivo es de confianza solo por estar dentro de la oficina. Si al separar redes algo se vuelve lento, usa nuestro ",[350,365,367],{"href":366},"/blog/tutorial/red-lenta-oficina-diagnostico","diagnóstico de red lenta",", y ordena el resto con el ",[350,370,372],{"href":371},"/blog/guia-empresarial/mes-ciberseguridad-plan-4-semanas","plan de ciberseguridad de 4 semanas",[374,375],"call-to-action",{"description":376,"eyebrow":377,"icon":378,"label":379,"title":380,"to":381},"Inventariamos los dispositivos conectados, configuramos redes separadas para invitados y equipos IoT y bloqueamos los indicadores publicados por Google en tu firewall.","Ciberseguridad","i-lucide-shield-check","Agendar revisión","Separa las pantallas y TV box de tu red de trabajo","/contacto",{"title":383,"searchDepth":384,"depth":385,"links":386},"",2,3,[387,388,389,390],{"id":125,"depth":384,"text":126},{"id":206,"depth":384,"text":207},{"id":249,"depth":384,"text":250},{"id":337,"depth":384,"text":338},"noticias",{"title":393,"description":394,"label":395,"to":396,"icon":397},"¿Qué más está conectado a la red de tu oficina?","Hacemos el inventario de dispositivos de tu red, separamos pantallas, TV box y Wi-Fi de invitados de tus equipos de trabajo y dejamos reglas de firewall documentadas.","Ver servicio de redes","/servicios/redes","i-lucide-router","2026-11-04","Google desarticuló XCPE, un backdoor de fábrica en 1.3 millones de TV box Android y pantallas. Si tienes una en la recepción o sala de espera, sácala de tu red.",false,"md",[403,406,409,412],{"question":404,"answer":405},"¿Qué es XCPE?","Es un backdoor que venía preinstalado en el firmware de dispositivos Android, sobre todo TV box. Google Threat Intelligence Group publicó el 2 de noviembre de 2026 que lo desmanteló junto con socios de la industria y atribuye con alta confianza su desarrollo y operación al fabricante Videostrong Technology Co.",{"question":407,"answer":408},"¿Cuántos equipos estaban infectados?","Google reporta más de 1.3 millones de set-top boxes inscritos en la botnet principal, y dice que al quitar los dominios de control de los afiliados corta el acceso a por lo menos 10 millones de dispositivos comprometidos adicionales. Google no explica en su publicación cómo contó esos equipos.",{"question":410,"answer":411},"¿Mi TV box quedó limpia después de la operación de Google?","No necesariamente. Google desmanteló la infraestructura de control, pero el backdoor vive en la partición de firmware, el usuario no puede quitarlo y se reinstala solo al reiniciar. El propio reporte dice que la operación no es el final y que el ecosistema sigue activo.",{"question":413,"answer":414},"¿Basta con que la TV box diga certificada por Google?","Ayuda, pero no es garantía en este caso. Según Google, Videostrong usó técnicas de ofuscación para aprovechar un hueco en las pruebas de certificación y cargar el código malicioso después del primer arranque. Google cerró ese hueco y vetó al fabricante, pero los equipos ya vendidos siguen en circulación.",null,"/images/blog/noticias/xcpe-botnet-tv-box-android-recepcion-red-oficina.jpg","TV box Android genérica conectada a una pantalla en la sala de espera de una oficina, con un cable de red que va al mismo switch de las computadoras","informational",[420,421,422,423],"botnet xcpe tv box android","tv box android malware de fabrica","videostrong backdoor","tv box en la red de la oficina",{},true,"/blog/noticias/xcpe-botnet-tv-box-android-recepcion-red-oficina","2026-11-04T15:30:00-06:00",5,{"title":5,"description":399},"Botnet XCPE en TV box Android: qué hacer en tu oficina","blog/noticias/xcpe-botnet-tv-box-android-recepcion-red-oficina",[433,434,435,436],"ciberseguridad","redes","android","iot","01OaznKmnsbe2b4paHQo-kVic1FqpOtSc4GW4E73sY8",{"path":439,"title":440},"/blog/noticias/wordpress-cve-2026-119977-actualizacion-core-kev-6-noviembre","CISA marca como explotada la falla de WordPress que ataca justo mientras actualizas: bloquea wp-content/upgrade antes de pasar a 7.1.4",[442,448,454],{"path":443,"title":444,"description":445,"date":398,"category":391,"image":446,"imageAlt":447,"readingTime":428},"/blog/noticias/google-meet-aviso-grabacion-notas-gemini-lfpdppp","Google Meet ya puede mostrar tu aviso antes de grabar o tomar notas con Gemini: viene apagado y conviene encenderlo","Desde el 2 de noviembre Meet permite mostrar un aviso de 350 caracteres antes de grabar, transcribir o tomar notas con Gemini. Cómo activarlo y qué pide la LFPDPPP.","/images/blog/noticias/google-meet-aviso-grabacion-notas-gemini-lfpdppp.jpg","Pantalla previa de una videollamada de Google Meet con un recuadro de aviso que indica que la reunión se grabará y que Gemini tomará notas",{"path":449,"title":450,"description":451,"date":398,"category":391,"image":452,"imageAlt":453,"readingTime":428},"/blog/noticias/fortigate-60e-81e-fin-soporte-diciembre-noviembre","FortiGate 60E y 81E se quedan sin soporte: el 81E el 14 de noviembre y el 60E el 29 de diciembre","Fortinet deja sin soporte el FortiGate 81E el 14 de noviembre y el 60E el 29 de diciembre de 2026. Qué deja de llegar, qué modelos ya vencieron y cómo reemplazarlos.","/images/blog/noticias/fortigate-60e-81e-fin-soporte-diciembre-noviembre.jpg","Firewall FortiGate de escritorio en un rack de oficina con una etiqueta roja que marca su fecha de fin de soporte",{"path":455,"title":456,"description":457,"date":398,"category":391,"image":458,"imageAlt":459,"readingTime":428},"/blog/noticias/forma-76-operaciones-relevantes-30-noviembre-quien-presenta","La forma 76 de operaciones relevantes vence el lunes 30 de noviembre: quién la presenta y por qué la mayoría de las PyMEs no","La declaración de operaciones relevantes de julio a septiembre vence el 30 de noviembre de 2026. Quién queda relevado por el tope de 60 millones y cuánto cuesta omitirla.","/images/blog/noticias/forma-76-operaciones-relevantes-30-noviembre-quien-presenta.jpg","Contadora revisando en dos monitores un contrato de préstamo entre empresas del mismo grupo junto al calendario de noviembre con el día 30 marcado",{"id":461,"avatar":415,"bio":462,"entityType":463,"expertise":464,"extension":465,"meta":466,"name":6,"role":467,"slug":468,"social":415,"stem":469,"url":7,"__hash__":470},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]