El veto de Google a Videostrong demuestra que el sello "certificado" no basta

La lección fácil de la mayor historia de botnets en Android TV del año es «no compres reproductores dudosos». Es un buen consejo. Pero no cuenta toda la historia y deja libres de culpa a quienes deberían haberlo detectado.

Esto es lo que ocurrió. Según informa BGR, Google rompió relaciones con Videostrong Technology, un fabricante con sede en China, después de que se descubriera que más de 1,3 millones de sus reproductores Android TV ejecutaban una puerta trasera llamada XCPE. El Threat Intelligence Group de Google asegura tener un alto grado de certeza de que Videostrong creó la puerta trasera y la instaló a propósito, y que después vendió el acceso a grupos criminales. Google y varias empresas de seguridad desmantelaron la botnet la semana pasada.

Los detalles son feos. El malware venía en el firmware, se ejecutaba con privilegios de sistema y, según Google, se usaba para cosas como el fraude publicitario y las redes de proxies residenciales. En algunos casos, los operadores incluso hacían capturas de pantalla en directo y extraían información de cuentas. Brasil es uno de los países más afectados; O Globo lo sitúa como el segundo más perjudicado, aunque también aparecieron reproductores infectados en Estados Unidos.

El sello de certificado estaba para evitar justo esto

El detalle que debería inquietar a todos es que Videostrong no era un fabricante de clones de usar y tirar. Era un socio certificado de Android. Google obliga a estos fabricantes a pasar sus dispositivos por pruebas de compatibilidad y seguridad antes de poder venderlos con las aplicaciones de Google. Según BGR, Videostrong ocultó su código para que las pruebas no lo detectaran y lo cargaba solo después del primer arranque.

Así que la historia ordenada, «lo certificado es seguro y lo no certificado es una trampa», no resiste el contacto con los hechos. Nuestra opinión: la certificación sigue siendo la mejor apuesta, porque al menos te da un responsable y una empresa capaz de cortar el grifo, como acaba de hacer Google. Pero es un filtro, no una garantía. Una prueba que se supera el día cero y se puede burlar esperando al segundo arranque es una prueba pensada para fabricantes honestos.

En su favor, Google dice que ha actualizado su proceso de revisión para que nadie más pueda colar malware por las pruebas de la misma manera. Es lo correcto. Pero también es admitir que el proceso anterior tenía un agujero, y que hicieron falta más de un millón de dispositivos para encontrarlo.

Los reproductores baratos son donde los incentivos se tuercen

Nada de esto convierte el hardware barato en una opción segura. Lo convierte en una peor. Cuando un reproductor se vende por muy poco, el margen tiene que salir de algún sitio, y Videostrong encontró uno: alquilar los dispositivos de sus clientes y sus conexiones de internet domésticas. Synthient, una de las empresas de seguridad implicadas, afirma que compró un Mecool KM9PRO Max a finales de 2025 y que ya traía la puerta trasera. También dice que este tipo de reproductores son populares entre quienes quieren instalar aplicaciones de terceros para saltarse la gestión de derechos digitales (DRM).

Es un punto que subrayaríamos, como opinión y no como hecho: quien busca un reproductor que haga lo que los dispositivos convencionales no harán es también un comprador que difícilmente se fijará en la certificación. A nadie se le debe culpar por querer un reproductor de televisión barato. Pero el precio que no ves es que tu red, y posiblemente tus cuentas, pasan a formar parte del negocio de otro.

La limpieza es desagradable. Google descubrió que XCPE puede desactivar la verificación de aplicaciones de Play Protect y que, si eliminas la puerta trasera, se reinstala desde el firmware en el siguiente reinicio. El consejo de Synthient es desconectar los dispositivos de tu red, cambiar la contraseña del wifi y actualizar el firmware del router. Según BGR, calcula que aproximadamente medio millón de los 1,3 millones de reproductores siguen contactando a diario con los servidores de los operadores. Synthient también ha publicado una lista de más de 180 modelos de dispositivos vinculados a la campaña, aunque que un modelo figure en la lista no confirma que una unidad concreta esté comprometida.

Qué deben hacer los compradores y qué les debe Google

Para los compradores: si tienes un reproductor de marca desconocida, comprueba si tu modelo está en la lista de Synthient y, si es así, plantéate desenchufarlo. A la hora de comprar, elige dispositivos de fabricantes con una reputación real que perder y trata un precio anormalmente bajo como una señal de alarma, no como una ganga. Y no entiendas «certificado por Google» como «auditado para siempre».

Para Google: vetar a Videostrong para que no fabrique dispositivos certificados ni suministre software a otros fabricantes certificados es una respuesta contundente, y la acción judicial contra los dominios y servidores también importa. Pero el orden de los acontecimientos es el inverso del deseable. El veto llegó después del daño. Las comprobaciones del comportamiento tras el arranque, las auditorías aleatorias de unidades ya vendidas y un mayor escrutinio del firmware que conserva acceso privilegiado deberían ser lo normal en un programa que permite a una empresa poner el nombre de Google en la caja.

Nuestro veredicto: quédate con dispositivos certificados, pero deja de tratar el certificado como el final de la conversación. El caso Videostrong demuestra que la cadena de suministro es donde se gana o se pierde la confianza, y Google, como quien reparte el sello, tiene que mirar ahí antes de lo que lo hizo esta vez.