El 2 de noviembre de 2026, Google anunció que había interrumpido la infraestructura de la puerta trasera y la botnet XCPE y que había cortado vínculos con Videostrong Technology Co. Los informes sitúan la red en unos 1,3 millones de dispositivos, la mayoría descodificadores Android TV. Google atribuyó a Videostrong el desarrollo y la operación deliberados de XCPE con fines económicos; esa es la evaluación de la compañía, no una resolución judicial.
Qué anunció Google y cuántos dispositivos afectaba
Google dijo que había bloqueado la infraestructura de control de XCPE, roto su relación con Videostrong y prohibido a la empresa fabricar dispositivos Android certificados o suministrar software a proveedores certificados. También afirmó que había modificado su proceso de revisión de dispositivos tras detectar que el código malicioso podía ocultarse durante las pruebas y activarse después del primer arranque.
La cifra de unos 1,3 millones corresponde a dispositivos asociados a XCPE. La mayoría eran cajas Android TV, aunque también se identificaron otros dispositivos basados en Android, como equipos de karaoke, telemedicina y cartelería digital. Google calculó por separado que la interrupción de dominios de comando y control (C2), usados para dirigir operaciones a distancia, podía cortar el acceso a al menos otros 10 millones de dispositivos comprometidos. Esa estimación se refiere a los módulos de afiliados y no es una cifra adicional de infecciones por XCPE.
Cómo funcionaba la puerta trasera XCPE
Según la explicación de Google, el código estaba integrado en el firmware, el software básico que permite funcionar al dispositivo. Técnicas de ofuscación lo ocultaban durante la revisión y permitían que se activara tras el primer arranque. Los módulos asociados se usaban para fraude publicitario, redes de proxy residenciales y la instalación de malware adicional. Google también informó de funciones para hacer capturas de pantalla, registrar pulsaciones de teclas, recopilar datos de cuentas e información del sistema y ejecutar órdenes a distancia.
Google interrumpió la infraestructura que permitía controlar XCPE y otros módulos vinculados. Esa acción afectó a la comunicación con los servidores; no eliminó por sí misma el código alojado en el firmware.
Qué significa encontrar un modelo en la lista
Synthient publicó identificadores de modelos observados en la campaña, entre ellos KM9PRO, KM9PRO_MAX, KM7PLUS, LEAP-S1 y UHD_Google_TV_STB. La organización advierte en su repositorio de investigación que una coincidencia de nombre no confirma que una unidad concreta esté infectada. Conviene comprobar el identificador exacto del modelo, no deducir el estado de un aparato solo por una marca o una denominación parecida.
Un registro de Synthient asociado a KM9PRO muestra por qué importa distinguir los campos: identifica la marca como MeCool, el fabricante como SkyworthDigital, el producto como HPR311-MECOOL y el modelo como UHD Google TV STB.
Business Standard informó que, según los hallazgos de Google, XCPE podía volver a instalarse tras reiniciar un dispositivo incluso después de borrar su paquete de aplicación visible. En ese caso, eliminar la aplicación no bastó para quitar el código residente en el firmware.
Qué respondió MECOOL tras la divulgación
En un correo atribuido al servicio posventa técnico de MECOOL, la marca dijo que Videostrong fabricaba sus productos, que la empresa había apelado a Google y que no aconsejaba a los usuarios corrientes dejar de utilizar sus dispositivos. Es la postura de MECOOL, no una evaluación independiente de seguridad de cada aparato.
