Más de 1,3 millones de decodificadores Android TV salieron de fábrica con un malware que alquilaba en secreto las conexiones a internet de los usuarios y participaba en fraudes publicitarios, según anunció Google el 3 de noviembre en un comunicado recogido por KrebsOnSecurity. Google y socios del sector desmantelaron la botnet, bautizada como XCPE, en una operación que, según sus previsiones, también cortará el acceso a al menos 10 millones de dispositivos comprometidos adicionales a través de la infraestructura de sus afiliados.
La población afectada no se limita a los equipos de streaming para televisor. El Google Threat Intelligence Group (GTIG) encontró el mismo malware en dispositivos de telemedicina basados en Android, máquinas de karaoke y sistemas de señalización digital, aunque las cajas para TV fueron la mayoría de las infecciones de XCPE.
GTIG y otros expertos del sector identificaron al fabricante chino de cajas para TV Videostrong Technology Co. como responsable de incluir el malware. Según Google, rompió sus vínculos con el fabricante y emprendió acciones legales para dar de baja los dominios y servidores que se usaban para controlar la botnet e instalar malware adicional.
Del primer arranque a una conexión alquilada
La intrusión comenzó en el proveedor del dispositivo. Google exige a los fabricantes de Android superar pruebas de compatibilidad y seguridad, pero, según la empresa, Videostrong encontró la forma de cargar software malicioso justo después de que un cliente encendiera el equipo por primera vez. Según Google, ya ha corregido esa debilidad.
El malware incorporaba los dispositivos a XCPE, nombre tomado de uno de sus componentes centrales de código. Después cargaba un programa que dejaba disponible la dirección de internet del propietario para su reventa a través de varios servicios de proxy residencial. Estos servicios permiten a los clientes enrutar su tráfico a través de la conexión de otra persona para ocultar su propia dirección o aparentar estar en otra ubicación.
Para los propietarios afectados, la conexión se convertía en infraestructura para el tráfico de desconocidos, sin su conocimiento ni consentimiento. KrebsOnSecurity ha documentado que los proxies residenciales se han usado para tomas de cuentas, fraudes publicitarios y raspado de contenido a gran escala para proyectos de IA.
GTIG afirmó que Videostrong vendía acceso a afiliados criminales e instalaba en los dispositivos infectados los módulos de malware de estos. Así, la puerta trasera del fabricante funcionaba como canal de distribución para varios operadores, y no como mecanismo de entrega de un único servicio de proxy.
Software de proxy encontrado en cajas infectadas
GTIG identificó varios proveedores de proxy residencial cuyos kits de desarrollo de software se descargaban de forma rutinaria en los dispositivos infectados con XCPE. Entre ellos figuran AppSalt, también conocido como Honeygain; NetNut; EarnFM; Traffmonetizer; Jaguar; LINKFOG; BMW/IPWeb; y GaGaNode.
AppSalt/Honeygain pertenece a Oxylabs, con sede en Vilna. En octubre de 2026, Oxylabs relanzó su actividad bajo la marca Source tras recibir 130 millones de dólares de la firma de capital privado Warburg Pincus, en una operación que, según se informó, valoraba la empresa en 3.600 millones de dólares. Oxylabs no respondió a la solicitud de comentarios de KrebsOnSecurity.
NetNut es operada por Alarum Technologies, empresa israelí que cotiza en bolsa. En julio de 2026, el FBI y socios del sector incautaron cientos de dominios asociados, y alegaron que NetNut operaba una botnet de proxy para cajas de TV distinta, llamada Popa.
Synthient, una startup de rastreo de proxies citada en el anuncio de Google, también analizó una popular caja preinfectada vendida con la marca MECOOL por Skyworth Technology, empresa china que cotiza en bolsa. Su informe del 3 de noviembre concluyó que MECOOL incluía el malware de Videostrong e instalaba AppSalt/Honeygain y otros componentes de proxy.
Ben Brundage, fundador de Synthient, dijo a KrebsOnSecurity que el malware de Videostrong también distribuía software del servicio de proxy Grass. Un informe de KrebsOnSecurity de noviembre de 2025 había citado a un investigador de Censys que encontró software de proxy de Grass incluido en dispositivos de streaming Superbox; el fundador de Grass negó cualquier afiliación con ese fabricante de cajas.
La distribución mediante marketing de consumo ayudó a que estos productos llegaran a los compradores. KrebsOnSecurity informó antes de que Superbox y cajas similares atrajeron clientes a través de TikTok y otros influencers de redes sociales que promocionaban el acceso a cientos de servicios de televisión de pago pirateados por una tarifa única. Synthient señaló que la popularidad de MECOOL se disparó tras un respaldo en 2023 del canal de YouTube Linus Tech Tips, que tiene casi 17 millones de suscriptores.
Por qué el desmantelamiento podría llegar más allá de XCPE
La operación sigue a trabajos anteriores que expusieron cómo la infraestructura de proxy residencial puede facilitar infecciones dentro de las redes de los clientes. En enero de 2026, Synthient documentó que la botnet Kimwolf, aparte de esta, había comprometido millones de decodificadores Android prácticamente de la noche a la mañana, aprovechando una vulnerabilidad extendida en los servicios de proxy residencial. La vulnerabilidad permitía atacar otros dispositivos Android dentro de las redes locales de los propietarios de cajas de TV.
Kimwolf lanzó entonces ataques de denegación de servicio distribuida excepcionalmente grandes en todo el mundo. La investigación de Synthient llevó a decenas de proveedores de proxy a parchear sus redes, lo que fragmentó la botnet y facilitó a los operadores de red la gestión de sus ataques. Posteriormente, la Motion Picture Association se asoció con Synthient para comprar y analizar cajas Android TV populares, incluidos dispositivos infectados con Kimwolf y otras botnets de IoT.
En el caso de XCPE, el alcance previsto del desmantelamiento depende tanto de los afiliados como de la puerta trasera del fabricante. GTIG explicó que los afiliados de Videostrong, dedicados a proxies y fraude publicitario, distribuían sus módulos también por canales distintos de XCPE, lo que llevó a la empresa a estimar que la operación debería cortar el acceso a al menos 10 millones de dispositivos comprometidos adicionales. Brundage calificó la cifra de 1,3 millones de XCPE de «muy conservadora» y describió la acción como probablemente la mayor operación contra cajas de TV con puerta trasera que Synthient había visto.
