Qué anunció Google

El 2 de noviembre de 2026, el Google Threat Intelligence Group publicó "Shutting the Door on the XCPE Botnet". Junto con la Policía Nacional de Japón y las empresas Lumen, HUMAN Security, Plume, Synthient y TrendAI, Google desmanteló un backdoor llamado XCPE que había incorporado a más de 1,3 millones de set-top boxes a una botnet. Según Google, Videostrong Technology (fabricante OEM/ODM de Shenzhen) lo desarrolló, instaló y operó con fines de lucro, alquilando el acceso a terceros para fraude publicitario, proxy residencial y carga de más malware.

Google cortó su relación con Videostrong, le revocó la licencia para fabricar dispositivos con aplicaciones de Google preinstaladas y cambió su proceso de revisión: el código malicioso se cargaba después del primer arranque, y así pasaba las pruebas de certificación1.

Qué se eliminó… y qué no

Lo que Google derribó fue la infraestructura de control: los dominios y servidores desde los que Videostrong gobernaba la botnet e instalaba módulos, y los de más de una docena de familias de malware cargadas a través del backdoor1. Eso corta las órdenes. No es una limpieza de los equipos.

El componente principal, x.cpe (también com.oemservice), viene preinstalado en la partición de firmware y corre con privilegios de sistema (android.uid.system). Según Google, si el usuario lo desinstala se reinstala solo desde la partición /oem/ al reiniciar, y "no puede ser removido por el usuario"1. El anuncio no informa que el backdoor haya sido eliminado de los equipos que ya están en los hogares, ni explica cómo quitarlo.

Dicho de otro modo: la caja sigue teniendo en su firmware un backdoor con privilegios de sistema que arranca con ella. Que los servidores que lo comandaban estén caídos es una buena noticia, pero no cambia lo que hay instalado en el equipo. Es una inferencia nuestra, no una afirmación de Google: mientras ese componente siga ahí y ejecutándose, el equipo conserva la puerta abierta, a la espera de cualquier servidor que vuelva a darle órdenes. Google mismo reconoce que "el mercado ilícito subyacente es resiliente"1.

Por qué no alcanza con desinstalar ni con reiniciar

Es la misma mecánica de fondo que describimos en BADBOX 2.0: malware que llega con la caja y que ninguna app de la Play Store alcanza a tocar.

Cómo lo resuelve AMK

Derribar servidores es un trabajo que se hace del lado de la red. AMK soluciona XCPE del lado del equipo: con acceso root al TV box, deshabilita realmente el malware (x.cpe / com.oemservice, ya incluidos en el catálogo de AMK) para que deje de ejecutarse. Un componente deshabilitado no corre, así que ni siquiera intenta conectarse a los servidores de control, ni a los actuales ni a cualquiera que aparezca en el futuro. Es justamente lo que el cierre de los servidores no logra. El análisis es gratis y solo se paga si se encuentra una amenaza; AMK compara el sistema real del dispositivo contra su catálogo y elige el método de limpieza según marca y modelo.

¿Tenés un TV box genérico? Analizalo gratis y fijate qué tiene instalado.

Analizar mi TV box

Qué recomienda Google

Comprar dispositivos conectados solo a fabricantes reconocidos (aunque, como muestra este caso, la certificación por sí sola no alcanzó), mantener Play Protect activo, revisar los permisos de VPN y proxys de terceros, y desconfiar de las apps que pagan por "compartir tu internet" o "ancho de banda no utilizado"1.

Alcance geográfico: Google describe la botnet como "dispersa globalmente" y no publica cifras por país. Infobae recoge además el conteo de TrendAI (1.472.554 equipos de 206 modelos en más de 170 países)2; tampoco menciona Argentina ni Latinoamérica. No sabemos qué modelos concretos circulan por acá.