Google y sus socios interrumpieron la infraestructura de mando y control de la botnet XCPE, que afectó a más de 1,3 millones de dispositivos, sobre todo decodificadores Android TV. La intervención cortó parte de la infraestructura que dirigía la red; retirar el implante del firmware de cada equipo es una tarea distinta.
Qué interrumpió la operación
La botnet usaba dominios de mando y control para comunicarse con los dispositivos infectados. Google vinculó la campaña a Videostrong Technology Co. y, según lo reportado sobre su respuesta, cortó su relación con la empresa y le prohibió fabricar dispositivos con aplicaciones de Google precargadas.
Los equipos comprometidos se utilizaban para revender ancho de banda mediante proxies residenciales y cometer fraude publicitario, entre otras actividades. La mayoría eran decodificadores Android TV, aunque también se identificaron otros dispositivos conectados basados en Android, como equipos de teleasistencia, máquinas de karaoke y cartelería digital.
El recuento de dispositivos y modelos
TrendAI habría contabilizado 1.472.554 dispositivos infectados en 206 modelos entre junio y octubre de 2026. La cifra corresponde a ese periodo de observación; el recuento general del caso superó los 1,3 millones de dispositivos.
Qué pueden hacer los propietarios
Google recomendó comprobar que Play Protect esté activado y comprar decodificadores de fabricantes reputados. TrendAI informó de que el implante, instalado en el firmware, podía desactivar Play Protect y que los propietarios no podían retirarlo mediante una desinstalación normal. Además, un intento de desinstalarlo podía ir seguido de una reinstalación automática.
Por eso, tener Play Protect activado es una precaución, no una prueba de que el firmware de un equipo afectado se haya limpiado.
