Google dice que el propio fabricante de los TV box instaló la puerta trasera y vendió el acceso a delincuentes
Esta vez nadie engañó a nadie para que lo instalara. El malware ya estaba en el aparato cuando salió de fábrica. Google anunció el 2 de noviembre que había desconectado XCPE, una puerta trasera que funcionaba dentro de más de 1,3 millones de reproductores de streaming con Android TV, y señaló al culpable con una franqueza poco habitual: Videostrong Technology, un fabricante de Shenzhen que, según Google, «desarrolló, desplegó y operó intencionadamente» el malware para ganar dinero.
La puerta trasera se ejecuta como aplicaciones del sistema llamadas x.cpe y com.oemservice, con privilegios completos de sistema. Sus operadores podían instalar aplicaciones en silencio, desactivar Google Play Protect, hacer capturas de pantalla, escribir en nombre del aparato y abrir una shell remota. Pero sobre todo la alquilaban. Afiliados de pago usaban los aparatos para fraude publicitario y como proxies residenciales, lo que significa que el tráfico de internet de desconocidos sale por tu conexión doméstica, con tu dirección IP. Los investigadores de Synthient lo encontraron preinstalado en un MECOOL KM9PRO Max comprado a finales de 2025 y publicaron una lista de 182 nombres de modelos. TrendAI contabilizó 1.472.554 dispositivos infectados de 206 modelos entre junio y octubre, con entre 26.000 y 42.000 aproximadamente en cada uno de estos países: Estados Unidos, Alemania, Reino Unido, Australia y Canadá.
Google ha revocado la licencia de Videostrong para comercializar dispositivos Android certificados, y la operación también desconectó al menos otros 10 millones de dispositivos infectados con malware relacionado. Eso detiene la operación actual. No limpia tu aparato. La puerta trasera vive en una parte protegida del firmware y se reinstala si la eliminas. Si tienes un TV box MECOOL u otro reproductor sin marca conocida, búscalo en la lista de Synthient. Desconectarlo de internet detiene el abuso, y el consejo de la propia Synthient es tirarlo. Que un modelo figure en la lista no demuestra que esté infectado, pero un aparato así cuesta menos que los problemas que puede dar.
El Análisis de red de Tendvane muestra todos los dispositivos de tu red doméstica, y es la forma más rápida de encontrar ese reproductor olvidado detrás del televisor.