La operación contra XCPE corta su infraestructura de control, pero los investigadores advierten de que el software sigue dentro de los equipos afectados.
Google y varios socios de seguridad han desarticulado la infraestructura de XCPE, una red que comprometió más de 1,3 millones de dispositivos. Los informes publicados el 2 de noviembre de 2026 describen principalmente descodificadores para televisores que llegaban infectados al comprador. La operación se ejecutó la semana anterior y afecta a una amenaza instalada de fábrica. Para sus propietarios, la cuestión pendiente es importante: cortar las comunicaciones de los atacantes no elimina automáticamente el programa malicioso.
XCPE aprovechaba la conexión doméstica sin avisar al propietario
Plume, participante en la investigación, sitúa la presencia de la red en más de 200 países. El software estaba integrado en el firmware, que controla las funciones básicas del aparato. Por tanto, el usuario podía recibirlo antes de instalar ninguna aplicación. Los investigadores describen tráfico de terceros que circulaba por conexiones domésticas sin consentimiento. La guía para identificar equipos en el wifi permite empezar por el inventario de aparatos. Sin embargo, reconocer un dispositivo conectado no acredita que su software sea seguro.
El mecanismo permitía que otras personas utilizaran la dirección de internet del hogar como salida de sus propias comunicaciones. Plume también documenta fraude publicitario y recopilación de información sobre dispositivos, redes y cuentas. La televisión podía seguir funcionando mientras ocurría esta actividad. Esa combinación explica por qué la ausencia de fallos visibles resulta insuficiente para descartar el problema. El uso de la conexión y del ancho de banda se producía sin una autorización del abonado. Tampoco existía una opción informada para rechazar esa participación.
Google atribuye la operación al fabricante Videostrong
El equipo de inteligencia de Google atribuye con alta confianza el desarrollo y funcionamiento de XCPE a Videostrong Technology. Según su informe, el fabricante vendía acceso a terceros que incorporaban sus propios módulos maliciosos. Google ha roto su relación con la compañía y la ha excluido de la fabricación de dispositivos Android certificados. La medida alcanza también a futuras filiales o entidades vinculadas. La empresa tecnológica afirma que reforzará sus comprobaciones del firmware para impedir que técnicas similares sorteen los controles previos a la venta.
Los investigadores de Synthient analizaron un MECOOL KM9PRO Max adquirido para estudiar su funcionamiento. Localizaron un componente integrado con permisos del sistema, capaz de recibir instrucciones e instalar otros programas. Su publicación incluye indicadores técnicos para profesionales y referencias a modelos observados. La identificación debe apoyarse en esos datos y en la información del fabricante. Tener un televisor con Android, por sí solo, no demuestra pertenecer a la red. Tampoco basta con que el nombre comercial del aparato recuerde al de otro equipo investigado.
Derribar los servidores no limpia los aparatos vendidos
TrendAI explica que la actuación sobre los servidores dejó a los operadores sin el canal utilizado para controlar los dispositivos. El implante, sin embargo, continúa dentro de los equipos ya comercializados. La firma advierte de que sus propietarios no pueden retirarlo como una aplicación corriente. Resolverlo requiere una actuación del proveedor, protección de la plataforma o sustituir el aparato. Esa conclusión debe distinguirse de los avisos sobre routers, donde las medidas dependen del modelo y del fallo concreto. Cada investigación exige una respuesta propia.
Las cifras publicadas tampoco representan exactamente la misma medición. TrendAI contabilizó 1.472.554 dispositivos en 206 modelos durante su observación entre junio y octubre de 2026. El dato conjunto comunicado por los socios supera los 1,3 millones. La firma explica que los resultados varían según el momento y la visibilidad de cada investigador. Además, Google estima efectos sobre otros diez millones de equipos comprometidos por módulos distribuidos mediante vías diferentes. Esa estimación adicional no debe presentarse como diez millones de televisores infectados directamente por XCPE.
Cómo actuar si el descodificador aparece entre los investigados
Synthient recomienda identificar los equipos de la red doméstica y desconectar los desconocidos o sospechosos. Para los aparatos afectados que ha investigado, aconseja retirarlos definitivamente del uso. También plantea actualizar el router y el resto de dispositivos, además de cambiar la contraseña del wifi. Estas medidas requieren comprobar primero qué equipo se tiene y qué evidencia existe sobre él. La revisión del nombre comercial, modelo y versión del sistema facilita esa consulta. La empresa publica indicadores para que técnicos y administradores contrasten las coincidencias.
La ayuda oficial de Google recomienda mantener Play Protect activado para detectar aplicaciones potencialmente dañinas. Su funcionamiento incluye análisis periódicos y posibles alertas. El informe de XCPE también pide precaución con aplicaciones que ofrecen dinero por compartir la conexión. El beneficio anunciado puede implicar que tráfico ajeno utilice la dirección doméstica. Para futuras compras, remite a su relación actualizada de socios de Android TV. Antes de volver a conectar un equipo identificado como afectado, debe existir una solución verificable para ese modelo. Un funcionamiento aparentemente normal no proporciona esa confirmación.