Google desarmó junto con otras empresas y la Policía Nacional de Japón la botnet XCPE: más de 1,3 millones de aparatos Android, casi todos TV boxes, que salían de fábrica con una puerta trasera. El informe del Grupo de Inteligencia de Amenazas de Google (GTIG), publicado el 2 de noviembre, se la atribuye a Videostrong Technology, un fabricante que arma TV boxes para muchas marcas blancas: "We assess with high confidence that the backdoor and botnet were intentionally developed, deployed, and operated for financial gain by Videostrong Technology Co."
La región está en el centro. Según la telemetría de TrendAI, entre el 3 de junio y el 1 de octubre Brasil fue el segundo país con más equipos infectados (150.080) y México el cuarto (94.588). En la tabla de marcas del informe de Plume aparecen modelos que se venden acá: el INTV-110 y el INTV-1000 de Steren, y el STV-3000 Plus de Aquario, que Plume describe como un equipo del comercio minorista brasileño y del que contó 40.087 aparatos.
Google tumbó los servidores de control la semana pasada. El implante no se fue: sigue en el firmware de cada aparato, y desde el aparato no se puede borrar.
Qué hacía la botnet XCPE en cada TV box
El componente se llama x.cpe y viene preinstalado en la partición del firmware, con el privilegio del sistema operativo. Si el dueño lo desinstala, vuelve a instalarse solo desde la partición del fabricante en el siguiente reinicio. Primero pide su configuración a un servidor en anyevonline.com y después queda conectado de forma permanente a mqtt.szbboys.com por MQTT, un protocolo liviano de mensajería. Según Google, Videostrong lo fue cambiando al menos desde fines de 2024, casi 2 años, para esquivar los controles.
Por ese canal, el operador podía instalar aplicaciones sin aviso, ejecutar comandos con privilegios de sistema, capturar la pantalla, inyectar teclas y mapear la red local. Antes de instalar, el implante apagaba la verificación de Google Play Protect. Google dice que no fue solo capacidad: "We also observed Videostrong operators executing sensitive actions on the device, including capturing live screenshots; injecting keystrokes; exfiltrating sensitive data including account information, device information, package inventories, and system logs; and executing shell scripts and commands, including to establish reverse shells on devices."
El negocio era vender el acceso. Videostrong cargaba en los aparatos módulos de terceros que los convertían en nodos de proxy residencial: la conexión del dueño se alquila para que otros naveguen como si estuvieran en esa casa o esa oficina. Otros módulos hacían fraude publicitario, con anuncios cargados en segundo plano que nadie veía. TrendAI contó 3.849.226 direcciones IP residenciales distintas usadas como salida en 4 meses, con un promedio de 182.025 disponibles por día, y vio al operador poner a trabajar cerca del 90% de los aparatos que controlaba.
La mayoría eran TV boxes, pero Google encontró el mismo implante en equipos de telemedicina, karaokes y reproductores de cartelería digital. TrendAI suma proyectores.
Brasil y México, entre los cinco países con más TV boxes infectados
En los 120 días que van del 3 de junio al 1 de octubre, TrendAI contó 1.472.554 equipos infectados de 206 modelos en más de 170 países, y aclara que es un piso: la recolección fue intermitente y cada socio vio una parte distinta, por eso la cifra conjunta que da Google es "más de 1,3 millones". Sobre ese total, Malasia concentra el 20%, Brasil el 10% y México el 6%, por cálculo propio con las cifras de TrendAI. En su gráfico de países con al menos 25.000 equipos, los únicos de América Latina son Brasil y México. El resto de la región no tiene cifras publicadas.
La tabla de Plume agrupa los aparatos por el fabricante que declara el firmware. Ahí está Steren en dos filas: el INTV-110 dentro de 59.031 equipos que se identifican como "Google", y el INTV-1000 entre los que declaran a Videostrong. La lista pública de Synthient con 182 nombres de modelo incluye además el INTV_ASIST de Steren y varias variantes de MECOOL, la marca del equipo que Synthient analizó. Synthient advierte que el nombre del modelo solo no confirma la infección.
La certificación de Google no alcanzó. Según Plume, la flota mezclaba aparatos con Android de código abierto y aparatos certificados por Google. Google reconoce que Videostrong aprovechó una brecha en sus pruebas para cargar el código malicioso después del primer arranque, y dice que ya cambió su proceso de revisión. También le prohibió a Videostrong, y a cualquier filial futura, fabricar dispositivos Android certificados.
¿Por qué un TV box infectado es un problema para una PyME?
Los TV boxes no viven solo en el living. Están en la sala de espera del consultorio, en el bar, en el gimnasio, en la habitación del hotel y detrás de la pantalla de cartelería del local. Si comparten la red con la caja, las computadoras y la impresora, un aparato de la botnet XCPE trae dos problemas:
- Tu conexión la usa otro. Un proxy residencial existe para que el tráfico de un tercero salga con tu IP. TrendAI explica para qué sirve: el tráfico desde una IP hogareña real "passes IP reputation and geolocation checks that banks, retailers and online services rely on". HUMAN, socio de la operación, había documentado que los compradores de un servicio parecido lo usaban para tomar cuentas ajenas y crear cuentas falsas. Lo que hagan, sale con la dirección de tu local.
- Hay un equipo con control remoto adentro de tu red. TrendAI lo dice sin vueltas: "If the devices were part of an organizational network, the attacker could gain access to the internal network as well." Los aparatos además juntaban datos del entorno, como los de la red Wi-Fi y la configuración de Bluetooth. Y desde la LAN se explotan fallas que desde internet no se alcanzan, como la de los switches Zyxel GS1900, que se ataca sin contraseña desde la red interna.
Para quien trabaja desde casa vale lo mismo: el TV box del living comparte red con la notebook de la empresa. TrendAI recomienda tratar esos aparatos del hogar como parte de la superficie de exposición y dejar el acceso corporativo solo para equipos administrados. Cómo darlo sin abrir la red de la oficina está en la guía de acceso remoto sin VPN.
¿Cómo sé si un TV box de mi oficina está en la botnet XCPE?
- Mirá el modelo. En un TV box con Android TV, el nombre suele estar en Configuración > Preferencias del dispositivo > Información. Comparalo con la lista de Synthient. De las marcas que se venden en la región figuran Steren, con los INTV, y Aquario, con el STV-3000 Plus; además aparecen MECOOL y los genéricos "4K Android TV Box". Una coincidencia no prueba la infección, pero alcanza para aislarlo como se explica más abajo.
- Buscá los dominios en los registros de la red. Si tu router, tu firewall o tu filtro de DNS guardan consultas, buscá
anyevonline.comyszbboys.com, con sus subdominios. Según Google, x.cpe pide al primero su configuración inicial, antes de conectarse al canal de control. - Buscá las conexiones al canal de control. Google identificó el servidor MQTT en las IP
219.134.163.210y219.134.163.211, en los puertos TCP 3885 a 3887, que no son los habituales de MQTT. Una conexión saliente a esas IP y puertos desde tu red señala un equipo infectado.
¿Qué hago si tengo un TV box Android en la red de la empresa?
- Sacalo hoy de la red de trabajo. Pasalo a la red de invitados con aislamiento entre clientes, o a una VLAN propia, sin acceso a las computadoras, la caja, el NAS ni la impresora. Cómo armar esa separación está en la guía de ciberseguridad para PyMEs de LATAM.
- Si viste tráfico a esos dominios o IP, reemplazalo. Si solo coincide el modelo, tenerlo aislado es lo mínimo y reemplazarlo es lo seguro. Plume recomienda un reset de fábrica para sacar lo que los módulos hayan instalado, pero x.cpe vive en el firmware y vuelve en el siguiente arranque. TrendAI lo resume: la limpieza "needs vendor action, platform protection or replacement of the device". Synthient recomienda descartarlo.
- Bloqueá los dominios. Agregá
anyevonline.comyszbboys.coma la lista de bloqueo del DNS o del firewall. Los servidores ya cayeron, pero el bloqueo te cubre si los operadores los recuperan; según TrendAI, operadores de este tipo ya montaron infraestructura nueva antes. - Comprá con otra vara. Plume advierte que pedir un TV box de menos de 30 USD en una tienda online tiene su riesgo. Google recomienda comprar aparatos solo a fabricantes conocidos y publica la lista de socios de Android TV. Evitá los TV boxes sin marca y las apps que pagan por "compartir tu internet": son la otra puerta de entrada a estas redes, según Google y TrendAI.
- No confíes en la IP para dejar entrar a nadie. Si alguna aplicación de la empresa permite el ingreso según el país o la IP de origen, un proxy residencial la pasa. Lo que frena el robo de cuentas es una autenticación en dos pasos resistente al phishing, no la geolocalización.
En un TV box no suele haber antivirus ni EDR, así que nadie lo vigila desde adentro; las computadoras de la misma red sí pueden tenerlo, y las opciones están comparadas acá. Cuándo se justifica un EDR está en la guía de EDR o antivirus para PyMEs. Con los routers baratos pasa algo parecido: hubo 17 fallas críticas sin parche en routers Linksys, Edimax y Wavlink, entre otros.
¿Quién puede ignorar la botnet XCPE?
Los informes describen sobre todo TV boxes, y además sticks, proyectores y equipos de cartelería, telemedicina y karaoke con Android. Quien no tenga ninguno de esos aparatos en la red de la empresa puede ignorar esta botnet. Si en la oficina solo hay computadoras, teléfonos y una impresora, no te toca.
Fuentes leídas: el informe del Grupo de Inteligencia de Amenazas de Google del 2 de noviembre, con sus indicadores; el análisis de TrendAI, con la cuenta por país; el informe técnico de Plume Security Labs, con la tabla por fabricante; la lista de modelos e indicadores de Synthient; y la nota de KrebsOnSecurity del 2 de noviembre. Sin confirmar: cuántos equipos hay en los demás países de América Latina, que no superan el umbral de 25.000 del gráfico de TrendAI; si todos los lotes de los modelos de Steren y Aquario traen x.cpe; y si esas marcas ofrecen reemplazo o firmware nuevo.
Preguntas frecuentes sobre la botnet XCPE
¿Qué es la botnet XCPE?
Una red de más de 1,3 millones de aparatos Android, casi todos TV boxes, que traían de fábrica un componente llamado x.cpe. Según Google, lo puso el fabricante Videostrong para vender el acceso a redes de proxies residenciales y de fraude publicitario. Google y sus socios tumbaron los servidores de control a fines de octubre de 2026.
¿Mi TV box Steren o Aquario está infectado?
Puede estarlo. Plume encontró los Steren INTV-110 e INTV-1000 y el Aquario STV-3000 Plus entre los equipos de la botnet, y Synthient suma el INTV_ASIST. El modelo solo no lo confirma, advierte Synthient. Si tenés uno, sacalo de la red de trabajo y revisá los registros del router en busca de anyevonline.com y szbboys.com.
¿Un reset de fábrica elimina XCPE?
No. Plume lo recomienda para sacar lo que los módulos hayan instalado, pero x.cpe está en la partición del firmware y vuelve a instalarse al reiniciar. TrendAI dice que la limpieza requiere una acción del fabricante o reemplazar el equipo.
¿La botnet XCPE sigue activa?
Los servidores de control cayeron, así que los operadores perdieron el acceso a los aparatos. El implante sigue en cada uno, y TrendAI advierte que operadores de este tipo ya montaron infraestructura nueva antes. Google estima además que, al tumbar los dominios de los módulos, les quitó a esos operadores el acceso a al menos otros 10 millones de equipos.
¿Por qué me importa si el TV box está en la sala de espera?
Si comparte la red con tus computadoras, un aparato de XCPE presta tu conexión para tráfico ajeno, que sale con la IP de tu local, y le da al operador un equipo con control remoto adentro de tu red. Ponelo en una red separada, sin acceso a nada más.