Google Threat Intelligence Group informó que a fines de octubre de 2026 interrumpió la infraestructura de mando y control de x.cpe, una botnet que afectó a más de 1,3 millones de dispositivos Android, en su mayoría decodificadores de televisión. El componente x.cpe estaba preinstalado en el firmware y podía reaparecer tras reiniciar el equipo.
Qué interrumpió Google y cuántos dispositivos afectó
Google atribuyó con alta confianza a Videostrong Technology Co. el desarrollo y la operación intencionales de la puerta trasera y la botnet con fines económicos. También prohibió a Videostrong y a sus futuras filiales o afiliadas fabricar o vender dispositivos Android certificados y suministrar software a fabricantes certificados.
Google cifró el alcance en más de 1,3 millones de dispositivos. Por su parte, TrendAI estimó 1.472.554 dispositivos infectados en 206 modelos durante una ventana de medición del 3 de junio al 1 de octubre.
Cómo operaba x.cpe
Una puerta trasera permite ejecutar acciones en un dispositivo sin el control habitual de su propietario. x.cpe funcionaba con privilegios de sistema y podía instalar aplicaciones sin avisar, ejecutar comandos, capturar pantallas y recopilar datos de cuentas y dispositivos, pulsaciones de teclado, inventarios de aplicaciones y registros del sistema. Entre los usos atribuidos a la botnet estaban el tráfico de proxy residencial, el fraude publicitario y la descarga de otros programas maliciosos.
El análisis técnico de NetmanageIT describe una petición inicial de configuración mediante HTTP, un protocolo de comunicación web. Incluía telemetría del dispositivo en un objeto JSON cifrado con AES, un estándar de cifrado. Después, el dispositivo mantenía una conexión persistente mediante MQTT, un protocolo de mensajería. NetmanageIT describe la instalación, retirada y configuración de módulos como las interacciones más frecuentes en la actividad que analiza.
Qué implica para los dispositivos
La lista de modelos atribuida a Synthient reúne 182 nombres. Una coincidencia con uno de esos nombres no determina si una unidad concreta está infectada. En una compra de prueba, Synthient encontró x.cpe preinstalado en una MECOOL KM9PRO Max.
Según lo descrito, x.cpe podía restaurarse desde la partición /oem/ después de reiniciar el dispositivo, por lo que eliminar una aplicación desde Android no bastaba para retirar el componente del firmware. TrendAI señaló como vías de remediación la intervención del fabricante, la protección de la plataforma o la sustitución del dispositivo.
