Google destapa 1,3 millones de Android TV Box con malware de fábrica

Google ha desmantelado una red de más de 1,3 millones de dispositivos Android TV infectados con un programa malicioso instalado desde su fabricación. La investigación apunta directamente a Videostrong Technology, una empresa china vinculada a los reproductores multimedia MECOOL, a la que el gigante tecnológico acusa de introducir deliberadamente una puerta trasera en sus aparatos y vender el acceso a grupos de ciberdelincuentes.

La operación, anunciada el 2 de noviembre de 2026, ha permitido inutilizar parte de la infraestructura utilizada para controlar estos dispositivos. Sin embargo, hay un problema importante: el malware puede permanecer instalado, incluso después de que sus servidores hayan sido bloqueados. España figura entre los países afectados.

Lo ocurrido va bastante más allá de una aplicación fraudulenta descargada por descuido. Los compradores adquirían un aparato aparentemente normal, destinado a convertir cualquier televisor en una televisión inteligente o ampliar sus aplicaciones, sin saber que podía estar preparado para obedecer órdenes externas. Los investigadores han identificado un sistema que aprovechaba las conexiones domésticas para generar ingresos mediante fraude publicitario, distribución de otros programas maliciosos y servicios de intermediación de tráfico en internet.

Videostrong, el fabricante que Google acusa de instalar el malware

El principal señalado es Videostrong Technology, una compañía de Shenzhen que fabrica dispositivos electrónicos basados en Android. Su actividad no se limita a vender productos bajo una única marca: también desarrolla aparatos y software para otras empresas, que después los comercializan con sus propios nombres.

Entre los productos investigados aparecen diferentes reproductores de MECOOL, una marca conocida por sus Android TV Box. La empresa de ciberseguridad Synthient examinó un MECOOL KM9PRO Max adquirido a finales de 2025 y encontró un componente malicioso integrado en el sistema.

La investigación también identificó conexiones entre la infraestructura utilizada para controlar los dispositivos y Videostrong. Google considera, con un alto grado de confianza, que la operación fue desarrollada y mantenida deliberadamente por el fabricante para obtener beneficios económicos, no como resultado de una negligencia puntual o de la actuación aislada de un empleado.

Hay otro aspecto especialmente delicado. Algunos de los aparatos afectados habían superado los controles de certificación de Android. Según Google, Videostrong utilizó técnicas para ocultar el código malicioso durante las pruebas y activar sus funciones después del primer encendido.

La certificación, por tanto, no fue suficiente para detectar la amenaza. Google ha reconocido esa deficiencia y asegura haber reforzado sus procedimientos de comprobación.

Cómo funcionaba XCPE, el malware oculto en las Android TV Box

El programa descubierto se conoce como XCPE o x.cpe. En algunas versiones aparece bajo el identificador técnico com.oemservice, un nombre que puede confundirse con el de un servicio legítimo del fabricante.

Su particularidad es que estaba integrado en el firmware, el software básico que permite funcionar al dispositivo. No necesitaba que el propietario descargase una aplicación sospechosa ni que aceptase permisos extraordinarios.

Cuando el aparato se conectaba a internet, el componente podía comunicarse con servidores externos y recibir instrucciones para descargar otros programas. Los investigadores comprobaron que el sistema permitía instalar aplicaciones sin autorización, ejecutar comandos, capturar pantallas y obtener información del dispositivo.

El negocio de utilizar conexiones domésticas ajenas

Uno de los principales usos de XCPE consistía en convertir los aparatos infectados en proxies residenciales. Estos servicios permiten que el tráfico de internet de una tercera persona circule a través de la conexión doméstica de otra.

En la práctica, alguien podía utilizar la dirección IP de una familia española para realizar actividades en internet sin que esa familia tuviera conocimiento de ello.

El sistema también permitía generar visualizaciones y clics publicitarios falsos. Los módulos maliciosos simulaban actividad para obtener ingresos mediante publicidad fraudulenta que ningún espectador había visto realmente.

La gravedad no reside únicamente en el posible consumo de ancho de banda. Los responsables de la operación disponían de capacidades para ejecutar instrucciones a distancia, obtener información y desplegar más programas maliciosos.

Las investigaciones también documentaron mecanismos para desactivar Google Play Protect, la protección integrada de Android frente a aplicaciones peligrosas.

Y todo esto podía suceder mientras el propietario utilizaba el aparato para ver una película o consultar sus plataformas habituales, sin notar ningún comportamiento anómalo.

MECOOL y otros modelos afectados: España también aparece

La dimensión internacional de la operación es considerable. Según las mediciones de TrendAI realizadas entre el 3 de junio y el 1 de octubre de 2026, se identificaron 1.472.554 dispositivos infectados, pertenecientes a 206 modelos y distribuidos por más de 170 países.

La cifra supera los 1,3 millones comunicados conjuntamente por Google y sus colaboradores porque responde a un sistema y un periodo de medición diferentes.

Entre los países con mayor número de aparatos afectados aparecen Malasia, Brasil, Irak, México y Taiwán. También se han identificado dispositivos en Estados Unidos y distintos países europeos.

En España, las mediciones atribuidas a TrendAI sitúan la cifra en 25.240 dispositivos detectados durante el periodo analizado. No significa que todos continúen conectados ni permite determinar cuántos propietarios siguen utilizando aparatos afectados.

Conviene aclarar otro detalle: el problema no afecta indiscriminadamente a todos los televisores con Android.

La investigación se centra principalmente en reproductores multimedia externos, conocidos como TV Box o decodificadores, aunque los especialistas también encontraron componentes relacionados con la campaña en otros productos electrónicos, como dispositivos de telemedicina, equipos de karaoke y pantallas comerciales.

La presencia de MECOOL entre las marcas investigadas tampoco demuestra que todos sus modelos y unidades estén infectados. Videostrong fabricaba productos para terceros, por lo que el nombre comercial no siempre permite identificar quién desarrolló el software original.

Google bloquea la red, pero el malware puede seguir instalado

Google ha coordinado una operación con la Agencia Nacional de Policía de Japón y varias empresas de ciberseguridad, entre ellas TrendAI, Synthient, HUMAN Security, Lumen y Plume.

La intervención ha permitido actuar contra dominios y servidores empleados para gestionar la red XCPE y distribuir sus componentes maliciosos.

La compañía también calcula que las medidas contra la infraestructura de otras familias de malware relacionadas podrían interrumpir el acceso de los delincuentes a al menos 10 millones de dispositivos adicionales. No se trata de otros 10 millones de televisores infectados directamente por XCPE, sino de sistemas comprometidos mediante distintas vías.

Google ha roto asimismo sus relaciones con Videostrong y ha prohibido que la compañía, incluidas sus futuras filiales, fabrique dispositivos Android certificados o suministre software a otros fabricantes certificados.

Pero desmantelar una red de control no equivale a limpiar automáticamente todos sus dispositivos.

El programa XCPE se ejecutaba con privilegios elevados y podía reinstalarse al reiniciar el aparato si el usuario intentaba eliminarlo. Esto se debe a que parte de sus componentes permanecían almacenados en una partición del firmware.

La consecuencia es importante: una Android TV Box comprometida puede dejar de recibir órdenes de los servidores intervenidos y seguir conservando un software potencialmente peligroso.

Qué hacer si tienes una Android TV Box sospechosa

El primer paso es identificar el fabricante y el modelo exacto del dispositivo. Normalmente, esta información figura en la etiqueta del aparato o dentro del menú Ajustes, en el apartado de información del sistema.

En el caso de determinados modelos MECOOL, como el KM9PRO Max examinado por Synthient, existen evidencias técnicas directas de la presencia del malware. La investigación también ha identificado numerosas denominaciones de otros dispositivos, pero el nombre de un modelo por sí solo no garantiza que una unidad concreta esté infectada.

Si se confirma que el aparato está afectado, o existen indicios sólidos de compromiso, la medida más prudente es desconectarlo de internet y consultar al vendedor o fabricante si dispone de una actualización de firmware limpia y verificada.

No es recomendable confiar únicamente en la desinstalación de aplicaciones, un análisis antivirus convencional o un restablecimiento de fábrica. Esas operaciones pueden no eliminar un componente malicioso incorporado al propio firmware.

Cuando no exista una solución fiable, sustituir el dispositivo es la opción más segura. Synthient recomienda directamente retirar los equipos afectados de las redes domésticas.

También resulta aconsejable revisar la seguridad del router, actualizar su firmware, cambiar la contraseña del wifi si existe sospecha de compromiso y comprobar los dispositivos conectados. Separar los aparatos inteligentes de los ordenadores y móviles personales mediante una red de invitados puede limitar los daños de futuras infecciones.

Quienes hayan utilizado cuentas personales o servicios sensibles en un aparato confirmado como infectado deberían cambiar sus contraseñas desde otro dispositivo seguro, especialmente si detectan accesos desconocidos.

No hay motivos para concluir que todos los propietarios hayan sufrido robos de contraseñas o de información bancaria. La existencia de capacidades de espionaje no demuestra que se hayan utilizado contra cada una de las víctimas.

La amenaza que permanece después de desconectar la red

El caso XCPE expone una debilidad especialmente preocupante del mercado de los dispositivos conectados: el riesgo puede comenzar antes de que el comprador abra la caja.

Durante años, buena parte de las recomendaciones de ciberseguridad han insistido en evitar aplicaciones desconocidas, mantener los sistemas actualizados y desconfiar de las descargas sospechosas. Son consejos válidos, pero insuficientes cuando el software peligroso llega incorporado por el propio fabricante.

La actuación de Google ha interrumpido una infraestructura utilizada para explotar millones de dispositivos y ha apartado del ecosistema Android certificado a la empresa señalada como responsable.

Queda pendiente resolver la situación de los aparatos que siguen en circulación. La operación no acredita que todos hayan quedado desinfectados ni que sus propietarios hayan recibido una solución definitiva.

Para los consumidores, la advertencia es concreta: una Android TV Box puede funcionar perfectamente y seguir siendo insegura. Y el hecho de que los servidores de una red criminal hayan sido desmantelados no significa necesariamente que el software que permitió construirla haya desaparecido.