Google ha desmantelado XCPE, una botnet que se escondía en el firmware de más de 1,3 millones de dispositivos Android, en su mayoría descodificadores de televisión, y ha vetado al fabricante chino Videostrong, al que atribuye con alta confianza haber colocado la puerta trasera a propósito. La operación tumbó los servidores de control a finales de octubre de 2026. Lo anuncia el Grupo de Inteligencia de Amenazas de Google, y lo detallan The Hacker News y Help Net Security.
No es la famosa BadBox: es una red distinta, más pequeña en número pero con un agravante, que el propio fabricante vendía el acceso.
¿Qué es XCPE y qué hacía?
Una puerta trasera incrustada de fábrica que convertía el aparato en un peón a las órdenes de delincuentes. Según Google, el componente principal corría con privilegios de sistema, se reinstalaba solo tras reiniciar el equipo desde una partición protegida y desactivaba las comprobaciones de Google Play Protect para instalar software en silencio. Con ese control, los operadores podían instalar aplicaciones, ejecutar comandos, capturar la pantalla, registrar pulsaciones de teclado y abrir acceso remoto al equipo.
El negocio era la reventa de ese acceso. La mayoría de los módulos convertía los dispositivos en proxies residenciales o revendía su ancho de banda, de modo que el tráfico de los atacantes parecía venir de conexiones domésticas normales; otros falseaban visionados de anuncios. La firma TrendAI contó 1.472.554 dispositivos infectados en 206 modelos entre junio y octubre de 2026, con Malasia, Brasil, Irak, México y Taiwán a la cabeza.
¿Qué ha hecho Google y a quién ha señalado?
Ha tumbado la infraestructura por vía legal y ha expulsado al fabricante del programa de Android certificado. Google usó acciones legales para derribar los dominios y servidores que controlaban la botnet y los de más de una docena de familias de malware asociadas, con ayuda de la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y la propia TrendAI.
El señalamiento es tajante. Google dice tener alta confianza en que Videostrong, con sede en Shenzhen, introdujo la puerta trasera de forma intencionada, y descarta que fuera un empleado deshonesto o un error. Por eso ha vetado a la empresa, y a sus futuras filiales, de fabricar o vender dispositivos Android certificados y de suministrar software a fabricantes certificados. Según Google, Videostrong escondió su código para sortear un hueco en sus pruebas de compatibilidad y seguridad, cargando el código malicioso tras el primer arranque; la compañía dice haber revisado ese proceso. Aquí el usuario tiene poco que hacer, porque el problema viene de fábrica, no de un ajuste mal puesto como los que repasamos en los ajustes de desarrollador de Android que conviene dejar apagados.
¿Me afecta y cómo sé si mi aparato está limpio?
Afecta sobre todo a descodificadores de TV baratos, pero también se ha visto en otros aparatos conectados. Google detectó XCPE en dispositivos de telesalud, máquinas de karaoke y pantallas de señalización digital. Y hay un matiz importante: Plume halló tanto dispositivos certificados por Google como otros con la versión libre de Android (AOSP), aunque Google no ha dicho cuántos certificados se vieron afectados. Para comparar, los más de 10 millones de aparatos de BadBox 2.0, en 2025, eran todos sin certificar.
El problema es que quitar XCPE no basta: se reinstala al reiniciar, así que, según TrendAI, la limpieza exige una actualización del fabricante, una protección de plataforma o directamente cambiar el aparato. Es la misma lección de fondo que dejan los stalkerware y otras apps espía difíciles de desinstalar: cuando el malware vive en lo más profundo del sistema, el usuario tiene poco que hacer por su cuenta.
Mi lectura: lo grave de XCPE no es el número, que es diez veces menor que el de BadBox, sino quién está detrás. Que Google acuse a un fabricante de poner la puerta trasera él mismo, y no un tercero que infecta aparatos ajenos, cambia la naturaleza del problema. Ya no es malware que se cuela, es un producto diseñado para espiar y revender tu conexión desde el minuto cero. El veto a Videostrong es contundente, pero llega después de 1,3 millones de aparatos vendidos, y nadie va a ir casa por casa a retirarlos. Para el comprador, la única defensa realista es desconfiar del descodificador de marca desconocida y sin certificar, por barato que sea. Lo barato, aquí, lo acabas pagando con tu ancho de banda y tu privacidad. Antes de comprar uno, vale la pena entender los riesgos de instalar software fuera de los canales oficiales.