- Google atribuye a Videostrong, fabricante de las cajas MECOOL, una puerta trasera en más de 1,3 millones de dispositivos Android.
- El troyano XCPE venía de fábrica y servía para vender acceso a grupos criminales y usarlos en fraude publicitario o redes proxy.
- La compañía ya no podrá lanzar equipos con aplicaciones de Google y España aparece entre los territorios afectados.
- Ante la falta de listado completo de modelos, se recomienda desconectar estos aparatos y cambiar contraseñas desde otro dispositivo.
La historia de las cajas Android TV baratas ha dado un giro bastante incómodo. Google ha detectado una red de más de 1,3 millones de dispositivos que habrían llegado al mercado con un programa malicioso ya incorporado, y el rastro apunta directamente a Videostrong Technology, la empresa china que está detrás de los equipos MECOOL. No se trata de un fallo aislado ni de una aplicación sospechosa que el usuario instalase por su cuenta: el problema estaría en el software de fábrica.
Estos aparatos se venden en plataformas como Amazon y AliExpress, con modelos que suelen moverse entre los 40 y los 50 dólares. Su gancho es sencillo: convertir un televisor normal en uno inteligente por poco dinero y dar acceso a aplicaciones como Netflix o YouTube. El problema es que, en este caso, la puerta de entrada no solo servía para ver series, sino que habría permitido a terceros tomar el control de los equipos sin que el propietario se enterase. España, además, aparece entre los países afectados.
Qué es XCPE y por qué resulta preocupante
El programa malicioso se conoce como XCPE. No hacía falta descargar nada raro para que entrase en escena: venía preinstalado en los dispositivos afectados y podía cargar otros programas después del primer arranque, conectándose a servidores externos para recibir órdenes. Mientras el dueño usaba la caja con total normalidad, los operadores del troyano podían aprovechar sus recursos sin mostrar ningún aviso.
La investigación sostiene que Videostrong habría actuado de forma deliberada. Google considera con un alto grado de confianza que la puerta trasera y la red de equipos infectados se desarrollaron y utilizaron para obtener beneficios económicos. El supuesto negocio consistía en vender el acceso a distintos grupos criminales, que después instalaban sus propias herramientas para cometer fraude publicitario, descargar más malware o meter los aparatos en redes de servidores intermediarios.
Eso último tiene una consecuencia directa para quien tiene uno de estos equipos en casa: la conexión doméstica podría haber sido utilizada por desconocidos para realizar actividades en Internet sin conocimiento del propietario. Además, se habrían documentado capacidades para hacer capturas de pantalla, extraer datos de cuentas, introducir pulsaciones de teclado y controlar un dispositivo Android de forma remota. Demasiado poder para un aparato que, en teoría, solo debería servir para ver contenido.
El fabricante esquivó controles y Google reacciona
Hay un detalle que tampoco deja en buen lugar a Google. La propia compañía ha reconocido que Videostrong consiguió esquivar sus pruebas de seguridad ocultando el código malicioso y cargándolo después del primer encendido. Para corregir esa vía, Google asegura que ya ha modificado sus procedimientos y ha cortado la relación con el fabricante. La empresa china no podrá comercializar nuevos dispositivos con aplicaciones de Google preinstaladas, después de concluir que no fue un error de desarrollo ni la actuación de un empleado aislado.
Este caso tampoco es el primero. Ya hubo un episodio parecido con BadBox 2.0, una operación que afectaba a más de diez millones de aparatos y que también se apoyaba en cajas Android baratas para el fraude publicitario. En esta ocasión, el malware se ha encontrado en equipos de distintas marcas y modelos, aunque la gran mayoría eran Android TV Box. Lo que no existe por ahora es una lista completa de los modelos MECOOL afectados, así que no se puede asegurar que todos los aparatos de la marca estén comprometidos.
Qué hacer si tienes una caja MECOOL en casa
Si tienes una de estas cajas, lo más prudente es desconectarla de Internet y dejar de usarla hasta que haya más información. También conviene cambiar desde otro dispositivo las contraseñas que se hayan introducido en ella. Un restablecimiento de fábrica podría no ser suficiente si el software original sigue comprometido, y por el momento no hay datos que permitan garantizar que todos los modelos puedan limpiarse de forma segura.
Tampoco se ha facilitado una cifra concreta de víctimas en España, aunque el país figure entre los territorios afectados. La recomendación general es no fiarse de soluciones milagrosas ni de tutoriales que prometan dejar el aparato limpio sin más, sobre todo cuando el fabricante no ha detallado qué referencias están en el punto de mira. Ante la duda, mejor mantener el equipo apagado o sin conexión y recurrir a otro dispositivo para las gestiones sensibles.
La película deja una idea bastante clara: una caja Android TV de bajo coste puede acabar siendo mucho más cara de lo que parece. El caso XCPE afecta a más de 1,3 millones de dispositivos, señala a Videostrong y a sus equipos MECOOL, ha llevado a Google a bloquear nuevos lanzamientos con sus servicios y deja a España entre los países donde se ha detectado el problema. Mientras no haya un listado definitivo de modelos, toca extremar las precauciones, desconectar estos aparatos y cambiar las contraseñas que hayan pasado por ellos.
