SeguridadSecurity3 MIN2026-11-04T01:22:21.068Z
Google desmantela XCPE, una botnet escondida en 1,3 millones de TV boxes Android
Google y sus socios cortaron el control de XCPE, una puerta trasera preinstalada de fábrica en más de 1,3 millones de TV boxes y otros dispositivos IoT. La lección: el riesgo puede venir dentro del hardware.
Google dismantles XCPE, a botnet hidden in 1.3 million Android TV boxes
Google and its partners cut off control of XCPE, a factory-preinstalled backdoor in more than 1.3 million TV boxes and other IoT devices. The lesson: the risk can come built into the hardware.
Google anunció el 2 de noviembre de 2026 que, junto con socios de la industria, desmanteló XCPE, una puerta trasera que había convertido más de 1,3 millones de TV boxes Android en una botnet. Según el Grupo de Inteligencia de Amenazas de Google (GTIG), el malware venía preinstalado de fábrica y Google atribuye "con alta confianza" su desarrollo y operación al fabricante chino Videostrong Technology Co.
¿Qué hacía XCPE?
De acuerdo con Google, Videostrong vendía acceso a la botnet a afiliados criminales y cargaba en los equipos infectados módulos de terceros. Esos módulos se usaban para fraude publicitario, para convertir los dispositivos en "proxies residenciales" (alquilando en secreto la conexión a internet del usuario) y para instalar más malware. Además de TV boxes, Google detectó equipos IoT Android infectados como dispositivos de telesalud, máquinas de karaoke y pantallas de señalización digital.
Qué hizo Google
- Acciones legales para tumbar los dominios y servidores con los que se controlaba la botnet.
- Acciones contra los servidores de control de más de una docena de familias de malware distribuidas a través de esta puerta trasera; Google estima que eso corta el acceso a al menos 10 millones de dispositivos comprometidos adicionales.
- Prohibió a Videostrong y a sus futuras filiales fabricar dispositivos Android certificados o suministrar software a fabricantes certificados.
- Reforzó los controles de integridad del firmware en dispositivos Android TV certificados.
Según Android Central, en la operación participaron también la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI.
Por qué importa
El desmantelamiento no limpia los equipos ya infectados. Como explica BleepingComputer, la puerta trasera vive en la partición /oem/ del firmware y se reinstala aunque se borre, así que desinstalar la app o restablecer de fábrica puede no bastar. La recomendación de los investigadores es identificar los dispositivos sospechosos, desconectarlos de la red y reemplazarlos o instalarles un firmware limpio verificado.
Para cualquier negocio, la lección es clara: los aparatos baratos conectados a la red de la oficina (TV boxes en salas de espera, pantallas publicitarias, equipos IoT) también son parte de la superficie de ataque. Vale la pena comprar a fabricantes certificados, separar esos equipos en una red aparte y revisar qué está conectado.
Fuentes
On November 2, 2026, Google announced that it worked with industry partners to dismantle XCPE, a backdoor that had turned more than 1.3 million Android TV boxes into a botnet. According to the Google Threat Intelligence Group (GTIG), the malware came preinstalled from the factory, and Google attributes its development and operation "with high confidence" to the Chinese manufacturer Videostrong Technology Co.
## What did XCPE do?
According to Google, Videostrong sold access to the botnet to criminal affiliates and loaded their modules onto infected devices. Those modules were used for ad fraud, to enroll devices into "residential proxy" networks (secretly renting out the user's internet connection) and to install more malware. Besides TV boxes, Google found infected Android IoT devices such as telehealth devices, karaoke machines and digital signage displays.
## What Google did
- Legal action to take down the domains and servers used to control the botnet.
- Action against the command-and-control servers of more than a dozen malware families distributed through this backdoor; Google estimates this cuts off access to at least 10 million additional compromised devices.
- Banned Videostrong and any future subsidiaries from building certified Android devices or supplying software to certified vendors.
- Strengthened firmware integrity checks on certified Android TV devices.
According to Android Central, Japan's National Police Agency, Lumen, HUMAN Security, Plume, Synthient and TrendAI also took part in the operation.
## Why it matters
The takedown does not clean devices that are already infected. As BleepingComputer explains, the backdoor lives in the firmware's /oem/ partition and reinstalls itself if removed, so uninstalling the app or doing a factory reset may not be enough. Researchers recommend identifying suspicious devices, disconnecting them from the network and replacing them or flashing verified clean firmware.
For any business the lesson is clear: cheap devices connected to the office network (TV boxes in waiting rooms, advertising screens, IoT gear) are part of the attack surface too. It pays to buy from certified manufacturers, keep those devices on a separate network and review what is connected.
## Sources
- [Google Cloud Blog (GTIG): Shutting the Door on the XCPE Botnet](https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet)
- [SecurityWeek: Google Dismantles XCPE Botnet of 1.3 Million Android Devices](https://www.securityweek.com/google-dismantles-xcpe-botnet-of-1-3-million-android-devices/)
- [BleepingComputer: Google disrupts million-device XCPE Android malware botnet, bans TV box maker](https://www.bleepingcomputer.com/news/security/google-disrupts-million-device-xcpe-android-malware-botnet-bans-tv-box-maker/)
- [Krebs on Security: Tech Firms Dismantle Botnet That Turned 1.3M TV Boxes Into Proxies](https://krebsonsecurity.com/2026/11/tech-firms-dismantle-botnet-that-turned-1-3m-tv-boxes-into-proxies/)
- [Android Central: Google takes down a massive Android TV botnet, but infected devices remain dangerous](https://www.androidcentral.com/streaming-tv/google-takes-down-a-massive-android-tv-botnet-but-infected-devices-remain-dangerous)
