Google y sus aliados desactivaron XCPE, una red de más de 1,3 millones de TV box Android con malware instalado de fábrica por Videostrong. Qué aparatos revisar en tu empresa y cómo aislarlos de tu red.
El 2 de noviembre de 2026, el Grupo de Inteligencia de Amenazas de Google (GTIG) informó que Google y sus aliados desactivaron XCPE, una botnet (red de equipos controlados a distancia sin que sus dueños lo sepan) de más de 1,3 millones de TV box, las cajas que convierten un televisor en smart TV. Según Google, el malware venía de fábrica y el responsable es el propio fabricante, Videostrong Technology Co. Participaron la Agencia Nacional de Policía de Japón y las firmas Lumen, HUMAN Security, Plume, Synthient y TrendAI.
Qué pasó
Videostrong, una empresa con sede en China que vende la marca MECOOL y fabrica equipos Android para otras marcas, preinstaló en el firmware (el software interno del aparato) un componente llamado x.cpe con permisos de sistema, que se reinstala solo al reiniciar. Luego vendía el acceso a grupos criminales, que cargaban módulos para fraude publicitario (vistas y clics falsos de anuncios), para convertir el aparato en proxy residencial (reenvía tráfico de desconocidos con la dirección IP de su dueño) y para instalar más malware. Los operadores podían además capturar la pantalla, ejecutar comandos, desactivar Google Play Protect y extraer datos. Google no publicó la lista de modelos: dice que halló el código en muchos modelos y marcas durante varios años.
Cómo respondió Google
Google tumbó por vía legal los dominios y servidores de control de Videostrong y los de más de una docena de familias de malware cargadas como módulos, lo que según sus cálculos corta el acceso a por lo menos otros 10 millones de equipos. También le prohibió a Videostrong y a sus futuras filiales fabricar o vender equipos Android certificados (los que traen las apps de Google), y ajustó sus pruebas de certificación, que el fabricante burlaba cargando el código después del primer arranque. En julio de 2025, Google ya había demandado a los responsables de BadBox 2.0, otra red de más de 10 millones de equipos Android con malware preinstalado.
Por qué le importa a tu empresa
Casi todos los equipos eran TV box, pero Google también encontró el malware en equipos de telemedicina, máquinas de karaoke y pantallas de señalización digital, comunes en salas de espera, consultorios y restaurantes. Conectado a la red de la oficina, un aparato así sirve para reconocerla y abrir conexiones remotas, y el tráfico ajeno sale con la IP de tu empresa. En el mapa de Google, Brasil y México aparecen entre los países afectados; Colombia no está resaltada.
Qué hacer
- Haz un inventario de las TV box, pantallas y demás aparatos con Android de la empresa, con marca y modelo.
- Verifica la certificación de Play Protect en Google Play Store: perfil › Configuración › Información. Ayuda, pero no basta, porque Videostrong la burló.
- Conecta estos aparatos a una red de invitados o a una VLAN (red virtual separada), sin acceso a servidores ni computadores.
- Bloquea en el firewall o en el DNS los dominios de control que publicó Google,
anyevonline.comyszbboys.com, y revisa si hay conexiones salientes a los puertos 3885 a 3887. - Desconfía de las apps que pagan por «compartir tu internet»: Google advierte que son una de las principales vías de crecimiento de estas redes.
- Reemplaza los equipos sin certificación por modelos de la lista oficial de socios de Android. Como el código está en el firmware, desinstalar apps no limpia un equipo infectado.
Cómo te ayudamos
En Pronetsys hacemos el diseño de redes empresariales con segmentos separados para invitados, pantallas y equipos de trabajo, y configuramos el firewall para bloquear dominios maliciosos. Si necesitas reemplazar aparatos, te asesoramos en la compra de equipos certificados. Cuéntanos qué equipos tienes y los revisamos contigo.
Fuentes
- Google Threat Intelligence Group: cierre de la botnet XCPE (2 de noviembre de 2026)
- Google: cómo verificar la certificación de Play Protect
- Android: socios con equipos certificados
- Google: demanda contra la botnet BadBox 2.0 (17 de julio de 2025)
- IFA Berlín: ficha de expositor de Videostrong Technology Co., Ltd
Fuente: Google Threat Intelligence Group
