Google y varias empresas de ciberseguridad han desmantelado una red de más de 1,3 millones de decodificadores Android para la tele que trabajaban, sin que sus dueños lo supieran, para delincuentes. Lo más grave no es el tamaño de la red, sino su origen: según Google, el programa malicioso venía instalado de fábrica y lo puso ahí el propio fabricante, la empresa china Videostrong Technology.
La red, bautizada como XCPE por el nombre de uno de sus componentes, convertía las conexiones a internet de los hogares en un recurso que se alquilaba a terceros. Google lo detalló el 2 de noviembre en un informe de su equipo de inteligencia de amenazas, y lo han confirmado otros participantes en la operación.
Un «regalo» que venía en el firmware
El corazón del problema es una aplicación llamada x.cpe (en algunas versiones, com.oemservice) que viene grabada en el firmware del aparato y funciona con permisos de sistema. El usuario no puede quitarla: si la desinstala, vuelve a instalarse sola desde una partición interna al reiniciar el aparato.
Esa pieza se comunicaba con servidores de control y, desde allí, recibía órdenes para instalar en silencio otros módulos. Google explica que el programa llegaba a desactivar Google Play Protect, la protección antimalware de Android, para poder instalar aplicaciones sin pedir permiso. Además, permitía ejecutar comandos a distancia, capturar la pantalla y simular pulsaciones de teclas.
Google cree, con «alta confianza», que no se trató de un empleado descontrolado ni de un descuido: el código apareció en muchos modelos y marcas durante varios años, con infraestructura propia y cambios constantes para no ser detectado. Videostrong, según su informe, aprovechó un hueco de las pruebas de seguridad de Android cargando el código malicioso después del primer arranque.
Tu conexión, alquilada a desconocidos
El negocio consistía en vender el acceso a esos aparatos a «afiliados» criminales. Sus módulos convertían los decodificadores en proxies residenciales, es decir, en puntos de salida a internet por los que otros navegan como si estuvieran en tu casa. También cometían fraude publicitario, simulando que se veían anuncios que nadie veía, e instalaban más malware.
Ese tráfico doméstico es muy valioso para los delincuentes porque supera los filtros de reputación y localización que usan bancos y tiendas online. TrendAI, la división de investigación que aportó información durante meses, contó entre junio y octubre de 2026 un total de 1.472.554 aparatos infectados, de 206 modelos y en más de 170 países, y más de 3,8 millones de direcciones IP distintas en cuatro meses. La cifra conjunta que dan las empresas es «más de 1,3 millones» porque cada una lo midió en momentos distintos.
Qué ha hecho Google
Google emprendió acciones legales para tumbar los dominios y servidores con los que Videostrong controlaba la red, y también los de más de una docena de familias de malware que se cargaban a través de ella. Como esos afiliados tienen otras vías de distribución, la compañía calcula que el golpe corta el acceso a al menos otros 10 millones de dispositivos comprometidos, entre ellos aparatos de telemedicina, máquinas de karaoke y pantallas de cartelería digital.
Además, ha roto relaciones con Videostrong y le ha prohibido, a ella y a cualquier filial futura, fabricar dispositivos Android certificados o suministrar software a fabricantes que lo sean. En la operación colaboraron la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI.
El aparato sigue infectado
Aquí está la mala noticia para quien tenga uno de estos decodificadores: cortar los servidores frena la red, pero no limpia los equipos. Como recuerdan BleepingComputer y TrendAI, el programa sigue dentro y se reinstala aunque se borre. La única solución es instalar un firmware limpio del fabricante, desconectar el aparato de internet o sustituirlo.
Y los propios investigadores avisan de que estos operadores suelen rehacerse sobre infraestructura nueva. Google lo resume diciendo que fabricantes de puertas traseras, redes de fraude publicitario y proveedores de proxies forman una misma cadena de suministro.
Cómo protegerse al comprar un decodificador
La recomendación de Google es comprar estos aparatos solo a fabricantes de confianza y comprobar que sean socios de Android TV en su web oficial. También aconseja desconfiar de las aplicaciones que ofrecen dinero a cambio de «compartir tu conexión» o tu ancho de banda que no usas, y mantener activado Google Play Protect.
Las cajas Android muy baratas y sin marca conocida, muy populares para ver la tele por internet, son justo el tipo de producto donde este riesgo es mayor. Si el precio parece demasiado bueno, puede que el que pague sea tu router.
Fuentes
- Google Threat Intelligence Group: Shutting the Door on the XCPE Botnet
- BleepingComputer: Google disrupts million-device XCPE Android malware botnet, bans TV box maker
- TrendAI Research: TrendAI Research Helps Disrupt Botnet of More Than 1.3 Million Pre-Infected Set-Top Boxes
- Krebs on Security: Tech Firms Dismantle Botnet That Turned 1.3M TV Boxes Into Proxies
