Empieza con el control remoto en tu mano y la caja aún conectada. No estás limpiando nada aún. Estás construyendo un registro, una revisión a la vez, para que el veredicto al final descanse en evidencia de tu propia caja y no en un nombre de marca o una etiqueta de precio. Nuestro reporte sobre la eliminación cubre quién construyó XCPE y cómo Google y sus socios cortaron sus servidores de control a finales de octubre. Este tutorial cubre la caja bajo tu televisión.
Lo que vas a construir o aprender
Terminarás con un veredicto escrito para una caja específica. El veredicto es una de tres lecturas. Confirmado significa que un nombre de paquete que Google publicó como parte de XCPE está presente en tu caja. Sospechoso significa que señales más débiles coinciden entre sí, como un nombre de modelo en la lista publicada más un ajuste de protección encontrado desactivado. Sin evidencia encontrada significa que cada revisión regresó limpia, lo que baja la sospecha y nunca demuestra que una caja sea segura.
Los datos en los que descansa la auditoría vienen del Google Threat Intelligence Group. La puerta trasera principal se ejecuta como x.cpe, o como com.oemservice en algunas compilaciones, en el nivel de privilegio android.uid.system, dentro del firmware. Un cargador llamado com.abc.nexus ejecutaba los módulos que hacían dinero para afiliados. Desde agosto de 2026, dice Google, droppers más pequeños disfrazados como aplicaciones de sistema han estado reemplazando ese cargador, con nombres como com.android.system.ntp y com.android.sso.auth.handler. Cinco nombres de paquete. Esos nombres son el corazón de esta auditoría.
Antes de empezar
Entiende lo que un resultado limpio puede y no puede decir. Google dice que el diseño evolucionó durante años y que las compilaciones recientes eliminaron gradualmente el cargador a favor de droppers construidos para módulos únicos. Una caja puede llevar una variante que esta auditoría no nombra. La ausencia de los cinco nombres de paquete es evidencia. No es un certificado.
Entiende también el límite opuesto. Synthient, la empresa que compró un MECOOL KM9PRO Max y encontró la puerta trasera dentro, publicó una lista de 182 nombres de modelo vistos en la campaña y advierte en su propio informe que un nombre de modelo coincidente solo no confirma que una caja esté infectada. Los nombres de modelo se comparten, se reutilizan y se imprimen con holgura en hardware barato. Trata una coincidencia en la lista como una razón para seguir revisando, nunca como el veredicto.
La escala detrás de la auditoría: Google mapeó cajas infectadas en más de 200 países. Imagen: Google
Dos notas de seguridad para el paso ADB. La depuración de red abre una puerta a la caja para cualquier dispositivo en tu red doméstica, así que la activarás para una sesión y la desactivarás de nuevo antes de que este tutorial termine. Acepta un aviso de depuración en la televisión solo cuando nombre tu propia computadora. Y omite cualquier aplicación de limpieza o antivirus ofrecida fuera de Play Store. Esta auditoría usa solo las herramientas que Google entrega y los ajustes ya en la caja.
Paso 1: Registra la identidad exacta de la caja
Acción: con el control remoto, abre Settings y encuentra la pantalla About. En la mayoría de las cajas Android TV la ruta es Settings, luego Device Preferences, luego About. En compilaciones Google TV la ruta es Settings, luego System, luego About. Escribe tres valores exactamente como se muestran: el nombre del modelo, la versión de Android y el número de compilación. Las etiquetas de menú varían un poco según la marca, así que sigue la forma de la ruta si tu redacción difiere.
Acción: voltea la caja y lee la etiqueta impresa. Escribe la marca en el frente, el código de modelo en la etiqueta, el nombre del fabricante si uno está impreso y el número de serie. Conserva el número de serie en tus notas privadas y fuera de cualquier publicación pública. Anota también dónde y cuándo compraste la caja. Querrás el nombre del vendedor si el veredicto va contra la caja.
Resultado esperado: tienes dos versiones de la identidad del modelo, la versión de software de About y la versión impresa de la etiqueta. Ambas importan. Las listas publicadas usan cadenas de modelo en más de una ortografía, así que una caja que se informa como KM9PRO Max en About puede aparecer en una lista como KM9PRO_MAX. Conserva ambas ortografías en tus notas y busca ambas en el paso siguiente.
Paso 2: Verifica el modelo contra las listas publicadas
Acción: abre el informe de Synthient, The Internals of a Badbox Operation, y encuentra su lista de nombres de modelo vistos en la campaña. Busca en la página tu modelo en cada ortografía que registraste. La lista llega a 182 nombres. Los nombres confirmados en los informes alrededor de la eliminación incluyen KM9PRO_MAX, KM7PLUS y KD3, y muchas entradas son cadenas genéricas como 4K_Android_TV_Box, lo que muestra por qué este paso solo puede elevar la sospecha y nunca resolverla.
Acción: anota la pregunta del fabricante por separado de la pregunta de la marca. Synthient vincula la marca MECOOL con Videostrong, y Google dice que Videostrong también construyó dispositivos que otras marcas vendieron como propios. Una insignia MECOOL eleva lo que está en juego en los pasos posteriores. Una insignia diferente no lo baja, porque el nombre en el frente puede no ser el nombre de la empresa que construyó el firmware.
Acción: solo como contexto, revisa si la marca aparece en la página de socios de Google TV, enlazada en Fuentes, y registra la respuesta. Google aconseja a los compradores adquirir decodificadores solo de fabricantes reputados y apunta a su lista de socios de Android TV. Mantén ese consejo en su peso adecuado. XCPE se entregó en dispositivos que pasaron revisiones de certificación, según Google, así que el estado de socio y la certificación son contexto, no un veredicto.
Resultado esperado: una de dos lecturas. Listado significa que tu nombre de modelo fue visto en la campaña y las revisiones de paquete abajo se vuelven decisivas. No listado significa que este paso no encontró nada, y las revisiones de paquete aún deciden, porque Google encontró el código en muchos modelos y marcas durante varios años y ninguna lista pública está completa.
Paso 3: Caza los cinco nombres de paquete en la lista de aplicaciones
Acción: abre Settings, luego Apps, luego la lista completa de aplicaciones. La mayoría de las compilaciones la etiquetan See all apps. Encuentra la opción para mostrar aplicaciones de sistema, normalmente en un menú en la parte superior de esa lista, y actívala. Sin esa opción la puerta trasera permanece invisible, porque se ejecuta como una aplicación de sistema y la lista predeterminada muestra solo aplicaciones con presencia de lanzador.
Acción: desplázate por la lista completa lentamente y busca estos cinco nombres de paquete, exactamente como están escritos:
x.cpe
com.oemservice
com.abc.nexus
com.android.system.ntp
com.android.sso.auth.handler
Acción: lee los nombres de visualización con cuidado. Los dos últimos nombres en la lista son droppers disfrazados como aplicaciones de sistema de Android, según Google, así que una etiqueta que suena a sistema insulso no demuestra nada en ningún sentido. Juzga por nombre de paquete, no por el nombre amigable junto a un icono. Un nombre más merece una nota. Google dice que la puerta trasera compartía su configuración con el software del fabricante YokaTV Player. Una aplicación YokaTV Player por su cuenta es una aplicación de streaming y no demuestra nada. Se gana una línea en tus notas solo cuando está junto a una coincidencia de paquete arriba.
Lo que son los cinco nombres: una puerta trasera en el firmware, un cargador y módulos cargados para afiliados que pagan. Imagen: Google
Resultado esperado: una coincidencia en x.cpe o com.oemservice es una coincidencia en los nombres de la puerta trasera principal que Google publicó. Una coincidencia en com.abc.nexus es una coincidencia en el cargador. Una coincidencia en cualquier nombre de dropper es una señal fuerte de sospecha que el Paso 5 puede confirmar por ruta de paquete. Ninguna coincidencia significa que la revisión con el control remoto no encontró nada, y la auditoría continúa, porque algunas compilaciones ocultan paquetes de las listas de aplicaciones del proveedor.
Paso 4: Prueba el ajuste de Play Protect que la puerta trasera desactiva
Google describe un acto concreto de sabotaje en su informe. La puerta trasera desactiva la verificación de aplicaciones de Google Play Protect definiendo el valor global package_verifier_user_consent en -1. Este paso revisa ese acto desde ambos extremos: el interruptor visible en la televisión, y el valor en bruto mismo en el Paso 5.
Acción: en una caja que ejecuta Android 11 o superior, abre la aplicación Play Store, abre el menú, elige Play Protect y abre sus Settings. Confirma que Scan apps with Play Protect está activado, y que Improve harmful app detection está activado. Luego ejecuta un escaneo desde la pantalla de Play Protect y registra el resultado. En una caja que ejecuta Android 10 o inferior, abre Settings, luego Apps, luego Security & restrictions, y confirma que Verify apps está activado. Estas son las rutas que Google publica en su propia página de ayuda de Play Protect para Android TV.
Acción: en la misma caja, abre Play Store, toca el icono de perfil, abre Settings, abre About y lee la línea de certificación de Play Protect. Registra si dice que el dispositivo está certificado.
Resultado esperado: tres lecturas importan. Si Scan apps with Play Protect está desactivado y nunca lo desactivaste, eso coincide con la manipulación que Google describió, y cuenta como una señal de sospecha. Si la línea de certificación dice que el dispositivo no está certificado en una caja que se vendió como una caja Google TV certificada, esa es una segunda señal de advertencia sobre el firmware en su conjunto. Si ambos ajustes están activados y el escaneo está limpio, este paso no encontró nada. Un escaneo limpio nunca anula una coincidencia de paquete del Paso 3. El implante se ejecuta a nivel de sistema y desactivó la verificación en primer lugar, según Google, así que su propio escaneo es el testigo más débil en esta auditoría.
Paso 5: Confirma la lista de paquetes por ADB
Esta es la revisión más fuerte en el tutorial, porque le pide al sistema operativo su lista completa de paquetes directamente en lugar de confiar en una lista de aplicaciones del proveedor. Android Debug Bridge, normalmente acortado a ADB, es parte de Android SDK Platform Tools de Google. Cada comando abajo es una consulta de solo lectura. Ninguno de ellos cambia la caja.
Acción: descarga SDK Platform Tools desde la página de desarrolladores de Android enlazada en Fuentes y desempácalo en tu computadora. Abre una terminal en la carpeta platform-tools desempacada y confirma que la herramienta se ejecuta:
adb version
Resultado esperado: la herramienta imprime su versión. La versión actual de Platform Tools es 37.0.1, de julio de 2026.
Acción: activa la depuración en la caja. Abre Settings, luego Device Preferences, luego About, o System, luego About en compilaciones Google TV. Selecciona la entrada Build, etiquetada Android TV OS build en algunas compilaciones, siete veces, hasta que la caja diga que ahora eres un desarrollador. Vuelve una pantalla, abre Developer options, y activa USB debugging y Network debugging. Algunas compilaciones más recientes nombran la ruta inalámbrica Wireless debugging y muestran un código de emparejamiento y un puerto de emparejamiento en cambio. Sigue lo que tu caja muestra en lugar de suponer un diseño. Luego encuentra la dirección de la caja bajo Settings, luego Network & Internet, luego tu red conectada, y escribe la dirección IP.
Acción: conéctate desde la computadora, reemplazando la dirección de ejemplo con la dirección de tu caja. El puerto 5555 es el puerto común de depuración de red. Si tu caja mostró un puerto diferente durante el emparejamiento, usa el puerto que mostró, y usa primero el comando adb pair al que te dirige.
adb connect 192.168.1.50:5555
adb devices
Resultado esperado: la televisión pregunta si permitir la depuración desde esta computadora. Acepta solo si la computadora es tuya. El segundo comando enumera tu caja con la palabra device junto a ella. La palabra unauthorized significa que el aviso en la televisión no se aceptó.
Acción: registra la identidad de la caja desde el propio sistema, y compárala con tus notas del Paso 1:
adb shell getprop ro.product.model
adb shell getprop ro.product.manufacturer
adb shell getprop ro.build.fingerprint
adb shell getprop ro.mecool.device
Resultado esperado: los tres primeros comandos imprimen el modelo, el fabricante y la compilación exacta de firmware. El cuarto comando merece una pausa. Google informa que el código de la puerta trasera lee esta misma propiedad para decidir a qué host de control contactar, con un host fijo cuando la propiedad se lee como true. Un valor de true significa que el firmware identifica la caja como un dispositivo MECOOL cualquiera que sea la insignia en el frente. Esa es línea de fabricante, no prueba de infección, y pertenece a tus notas junto al resultado del Paso 2.
Acción: ejecuta la caza de paquetes. En macOS y Linux:
adb shell pm list packages | grep -E "x\.cpe|oemservice|abc\.nexus|system\.ntp|sso\.auth"
En Windows, en Command Prompt, usa la misma lista con el filtro de Windows:
adb shell pm list packages | findstr /I "oemservice nexus ntp auth cpe"
El filtro de Windows es más amplio que el filtro de macOS y Linux, así que juzga cada línea que imprima por su nombre completo de paquete contra los cinco nombres en el Paso 3 antes de contarla como coincidencia.
Acción: guarda la lista completa de paquetes en un archivo en la computadora antes de juzgar el resultado filtrado, para que tu registro sobreviva a la sesión:
adb shell pm list packages -f > tv-packages.txt
Resultado esperado: el silencio del comando filtrado significa que ninguno de los cinco nombres de paquete está instalado bajo esas ortografías. Cualquier línea impresa es una coincidencia, y el archivo guardado muestra la ruta del archivo de la aplicación junto a cada paquete, para que puedas ver si una coincidencia vive en una ubicación de sistema. Para una coincidencia nombrada, una consulta más confirma dónde está:
adb shell pm path com.oemservice
Ejecuta el mismo comando con x.cpe o com.abc.nexus en lugar del nombre de ejemplo cuando coincidió un nombre diferente. Una ruta impresa confirma que el paquete está realmente instalado. Ninguna ruta significa que ese paquete está ausente.
Acción: lee el valor del verificador que la puerta trasera manipula:
adb shell settings get global package_verifier_user_consent
Resultado esperado: un valor de -1 significa que el consentimiento de verificación de aplicaciones fue rechazado o desactivado, que es exactamente el cambio que Google atribuye a la puerta trasera. Un valor de 1 significa que el consentimiento está activado. Una respuesta de null significa que el valor nunca se escribió en esta compilación, y el estado del interruptor de Play Protect del Paso 4 es tu evidencia para esta revisión en cambio.
Acción: cierra la puerta que abriste. En la caja, abre Developer options, desactiva Network debugging y USB debugging, y usa la opción de revocar autorizaciones si tu compilación ofrece una. En la computadora, ejecuta adb disconnect y luego adb kill-server.
Paso 6: Revisa el router en busca de tráfico de control
Este paso es opcional, y es el único paso donde se espera silencio incluso en una caja culpable. Google eliminó los dominios de control a finales de octubre, así que una puerta trasera dormida puede no hacer ninguna llamada en absoluto. Trata el tráfico como un testigo extra, nunca como el juez.
Acción: inicia sesión en tu página de administración del router y encuentra sus registros para consultas DNS o para conexiones por dispositivo. La redacción varía ampliamente según el fabricante, así que sigue la forma en lugar de una ruta fija. Busca en los registros las dos familias de dominios que Google publicó como la infraestructura central de control para XCPE:
szbboys.com
anyevonline.com
Google nombra mqtt.szbboys.com como el único host intermediario que llevó tráfico de control para las muestras que identificó, en puertos 3885 a 3887, y nombra los hosts anyevonline.com como la puerta principal de registro y configuración. Si tu router muestra conexiones salientes desde la dirección de la caja a puertos 3885, 3886 o 3887, registra la hora y el destino. La lista completa de indicadores en el informe de Google es mucho más larga, y cubre los módulos de afiliados. Búscala para cualquier dominio que tus registros muestren antes de juzgar un acierto.
Resultado esperado: un acierto en el registro en cualquiera de las familias, vinculado a la dirección de la caja, es evidencia fuerte de sospecha y pertenece a la parte superior de tus notas. Ningún acierto significa solo que la caja no hizo llamadas que tus registros conservaron durante la ventana que cubren. El veredicto descansa en los Pasos 2 a 5.
Verificación
La auditoría funcionó cuando puedes colocar tu caja en exactamente una fila de esta tabla con tus propias notas. Lee las filas desde la parte superior. La primera fila en la que encaje tu evidencia es tu veredicto.
| Evidencia de tus notas | Veredicto |
|---|---|
x.cpe o com.oemservice encontrado en el Paso 3 o el Paso 5 | Coincidencia confirmada en la puerta trasera principal. Trata la caja como comprometida. |
com.abc.nexus, com.android.system.ntp o com.android.sso.auth.handler encontrado, y ningún nombre principal | Sospecha fuerte. Estos son los nombres de cargador y dropper que Google publicó. Trata la caja como comprometida a menos que el fabricante los documente por escrito, lo que ningún fabricante ha hecho en los informes públicos. |
Modelo en la lista de Synthient, más escaneo de Play Protect encontrado desactivado, o el valor del verificador se lee como -1 | Sospechoso. Dos señales débiles coinciden. Trata la caja como comprometida si maneja cuentas que te importan. |
| Modelo en la lista de Synthient solo | Sin demostrar. Un nombre de modelo solo no confirma infección, según Synthient. Decide por riesgo. Una caja que solo reproduce archivos locales en un equipo de repuesto es un riesgo diferente de la caja principal iniciada en cuentas pagas. |
| Ninguna coincidencia de paquete, verificador normal, modelo no listado | Sin evidencia encontrada. La sospecha es baja y nunca cero, porque el diseño evolucionó y los droppers nuevos varían. Mantén Play Protect activado y repite esta auditoría después de cualquier actualización de firmware. |
Actúa sobre un veredicto confirmado o sospechoso en este orden:
- Saca la caja de la red. Tira del cable de red o apaga la caja, y déjala fuera de la red doméstica mientras trabajas el resto de esta lista.
- Desde un dispositivo limpio, cambia las contraseñas de cada cuenta que estaba iniciada en la caja, empezando con la cuenta de Google y cualquier cuenta de streaming con detalles de pago adjuntos. Google observó operadores recopilando información de cuentas, capturando la pantalla e inyectando pulsaciones de teclas, así que trata cualquier cosa escrita en la caja como vista.
- Revisa esas cuentas en busca de inicios de sesión y compras que no reconozcas, desde el mismo dispositivo limpio.
- Escribe al vendedor y al fabricante con tu registro del Paso 1, tu evidencia de paquete y una solicitud de firmware limpio o un reembolso. Al 3 de noviembre, ningún retiro ni programa de firmware limpio aparece en los informes públicos de Google, Synthient o TrendAI, así que un rastro escrito es tu palanca.
- Retira la caja si no llega firmware limpio. Synthient recomienda que los dispositivos afectados se desechen permanentemente, porque una caja con una puerta trasera puede llevar más. No la vendas ni la pases a otro. Llévala a un punto local de reciclaje de electrónicos cuando la reemplaces.
Solución de problemas
| Problema | Causa probable | Solución |
|---|---|---|
| La lista de aplicaciones no tiene opción para mostrar aplicaciones de sistema | La compilación del proveedor oculta el interruptor o lo coloca bajo una etiqueta diferente | Omite al Paso 5. La lista de paquetes ADB incluye paquetes de sistema sin ningún interruptor. |
| La pantalla About no muestra ninguna entrada Build para seleccionar | La caja usa una shell de ajustes del proveedor con un diseño diferente | Busca bajo Device Preferences, luego About, o System, luego About. Si no existe ninguna entrada de compilación en absoluto, el fabricante no expone ninguna ruta de depuración para el usuario, y los Pasos 1 a 4 son toda tu auditoría. |
adb connect se rechaza o agota el tiempo | La depuración de red está desactivada, la dirección es incorrecta, o la computadora está en una red diferente | Confirma la dirección en la caja, pon ambos dispositivos en la misma red doméstica y acepta el aviso en la televisión. Una conexión USB con cable funciona en cajas con un puerto de servicio. |
adb devices enumera la caja como unauthorized | El aviso de permitir en la televisión se perdió o se rechazó | Desconecta, conéctate de nuevo y acepta el aviso, permitiendo solo tu propia computadora. |
| El comando filtrado de paquetes no imprime nada y esperabas una coincidencia | La compilación usa un nombre de variante, o la lectura anterior de la lista de aplicaciones era un nombre de visualización y no un nombre de paquete | Busca en tu lista completa guardada del Paso 5 las cadenas cortas oem, nexus y cpe, y juzga cualquier acierto por su nombre completo de paquete contra los cinco nombres en el Paso 3. |
| El escaneo de Play Protect no informa aplicaciones dañinas en una caja con una coincidencia de paquete | La puerta trasera es una precarga de sistema y desactivó la verificación en primer lugar, según Google | La coincidencia de paquete supera al escaneo. Sigue las acciones de veredicto arriba. |
El comando del verificador devuelve null | Esta compilación nunca escribió el valor | Depende del estado del interruptor que registraste en el Paso 4 y anota el resultado nulo en tu registro. |
| Los registros del router no muestran dominios de control | Los servidores de control se eliminaron a finales de octubre, o el router conserva solo una ventana corta de registro | Se espera silencio incluso en una caja culpable. Descansa el veredicto en los Pasos 2 a 5. |
| La caja no tiene Play Store en absoluto | La caja ejecuta una compilación basada en el Android Open Source Project sin aplicaciones de Google | Los Pasos 4 y la lectura de certificación no se aplican. La revisión de modelo y la caza de paquetes ADB son tu auditoría, y una caja sin Play Protect no tiene red de seguridad que restaurar. |
Próximos pasos
Haz de la auditoría un hábito con una cola corta. Repite los Pasos 3 a 5 después de cualquier actualización de firmware, ya que una actualización cambia la lista de paquetes en la que confías. Conserva el archivo de paquetes guardado de tu primera auditoría limpia, si obtuviste una, y compara listas posteriores contra él. Los nombres de paquete nuevos que aparecen después de una actualización merecen el mismo escrutinio que los cinco nombres en este tutorial.
Si estás comprando un reemplazo, cómpralo como aconseja Google. Elige un fabricante reputado, confirma la marca en la lista de socios, revisa la línea de certificación de Play Protect en la tienda o el día en que la caja llegue, y ejecuta esta auditoría en la caja nueva antes de iniciar sesión en nada. Una caja barata es una computadora que vive en tu red doméstica con tu dirección en su tráfico. La auditoría toma cuarenta minutos. Ejecútala antes de que la caja se gane tus contraseñas.
Nombres de paquete, el valor del verificador, los hosts de control y el comportamiento de persistencia verificados contra el informe del Google Threat Intelligence Group sobre la eliminación de XCPE, la investigación de Synthient y la página de ayuda de Google Play Protect para Android TV, noviembre de 2026. Las rutas de menú se verificaron contra esos documentos y contra diseños publicados de ajustes de Android TV. Esta auditoría se verificó contra los documentos. No se ejecutó en una caja física en esta ejecución, así que usa la tabla de Verificación en tu propio hardware para confirmar cada lectura.
Fuentes
- Google Threat Intelligence Group, Shutting the Door on the XCPE Botnet, 2 de noviembre de 2026. Fuente principal para los cinco nombres de paquete, el nivel de privilegio de sistema, la persistencia en la partición
/oem/, el valor del verificador que la puerta trasera define, los hosts y puertos de control, y la afirmación de que una precarga de sistema no puede ser eliminada por el usuario. Ambas imágenes del cuerpo son de este informe y se acreditan a Google. - Synthient, The Internals of a Badbox Operation, noviembre de 2026. Fuente para el examen del MECOOL KM9PRO Max, el vínculo entre MECOOL y Videostrong, la lista de 182 nombres de modelo vistos en la campaña, la advertencia de que un nombre de modelo solo no confirma infección y la recomendación de que los dispositivos afectados se desechen permanentemente.
- Google Support, Protect your TV from harmful apps with Google Play Protect. Fuente para las rutas de Play Protect en Android TV, divididas entre Android 11 y superior y Android 10 e inferior.
- Android Developers, SDK Platform Tools release notes. Fuente para la descarga de Platform Tools y la línea de versión 37.0.1 usada en el Paso 5.
- BleepingComputer, Google disrupts million device XCPE Android malware botnet, bans TV box maker, 2 de noviembre de 2026. Informes sobre la investigación de Synthient y la eliminación, usados para verificar los informes de la lista de modelos y las posiciones de los socios sobre la eliminación.
- Google TV, Our global partners. La lista de socios a la que Google apunta a los compradores, usada como contexto en el Paso 2.
- Imagen del héroe: Dirty Static, generada en estilo de la casa
FIN DE LA TRANSMISIÓN
Mantén la curiosidad. Cuestiónalo todo.
