Google Threat Intelligence Group encontró XCPE en más de 1,3 millones de TV Box con Android vinculadas a Videostrong Technology, según informó BGR. Google y varias empresas de seguridad interrumpieron la botnet, pero el firmware podía reinstalar la puerta trasera al reiniciar. El corte de la infraestructura de control no limpiaba por sí solo cada aparato.
BGR fechó el informe de Google en el 2 de noviembre de 2026 y situó la interrupción en la semana anterior a su artículo del 4 de noviembre.
Qué hacía XCPE en los dispositivos
XCPE estaba integrado en el firmware y funcionaba con privilegios de sistema, según el relato de BGR sobre los hallazgos de Google y Synthient. Al arrancar, enviaba datos del dispositivo, como el número de serie y la dirección MAC, a servidores de Videostrong Technology y esperaba instrucciones. Sus operadores podían instalar aplicaciones sin que lo supiera el propietario o ejecutar comandos de sistema.
BGR también informó de actividad relacionada con fraude publicitario y redes de proxy residenciales. Google encontró hasta tres SDK de proxy en un mismo aparato y, en algunos dispositivos, los operadores capturaron pantallas en directo y obtuvieron información de cuentas.
Según BGR, Google cortó su relación con Videostrong Technology y le prohibió fabricar dispositivos Android certificados o suministrar software a otros fabricantes certificados. El grupo de inteligencia de Google atribuyó a la empresa, con alto grado de confianza, el desarrollo, despliegue y operación de la puerta trasera y la botnet con fines económicos.
Interrumpir los servidores no elimina el malware del firmware
BGR informó de que Google y otras empresas actuaron contra los dominios y servidores de control. La interrupción afecta a la infraestructura que recibía y transmitía instrucciones; XCPE, en cambio, podía persistir en el firmware y reaparecer después de reiniciar. Por eso, borrar el paquete malicioso no garantizaba eliminar la infección.
Si sospechas que una TV Box está afectada, desconectarla de la red es una medida distinta de intentar borrar XCPE.
Synthient recomendó retirar de la red los dispositivos afectados, cambiar la contraseña del Wi-Fi y actualizar el firmware del router, según BGR. La información disponible no ofrece un diagnóstico para una unidad concreta. BGR advierte que coincidir con uno de los más de 180 modelos de la lista de Synthient no confirma que ese aparato esté infectado.
Cómo limitar el alcance dentro de la red doméstica
Como precaución general, Kaspersky recomienda conectar las TV Box y otros dispositivos inteligentes a una red Wi-Fi separada, y mantener teléfonos, ordenadores y almacenamiento conectado a la red en la principal. Esa segmentación puede limitar a qué otros equipos accede un aparato comprometido, pero no elimina XCPE del firmware ni repara una infección. Kaspersky explica esta medida de aislamiento de red.
