Registrarse

[Mr.Byte]

Ayer leí la noticia, aunque ya habia oido información anterior,
https://blog.elhacker.net/2026/11/google-desmantela-botnet-xcpe-de-13.html

Descubri que mi Tv Box , una Mecool Km1 con certificado de Google, podría estar entre los afectados, busque el archivo, y lo encontre....

Ahora bien, aqui aparece el numero de versión, pero Google ha publicado el SHA256 de los archivos comprometidos , y  no la versión.

https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet

Ayer el antivirus ESET compatible TV, no encontró nada.
¿Alguna ayuda o alguna recomendación??
Gracias

[pingperdido]

Si tienes adb puedes sacar el archivo con adb pull y mirar el SHA256 con sha256sum en el PC, así lo comparas directamente con la lista de Google. Que ESET no encuentre nada no dice mucho, muchas veces eso viene metido en el firmware.

[el-brujo]

https://www.trendaisecurity.com/en-us/resources-insights/trendai-security-blog/trendaitm-research-helps-disrupt-android-tv-botnet-of-more-than-13-million-pre-infected-devices

https://synthient.com/blog/the-internals-of-a-badbox-operation

Este es listado más completo con versiones y otros IOC
https://github.com/synthient/public-research/blob/main/2026/11/Videostrong/README.md

[Mr.Byte]

Muchas gracias por las respuestas, he conseguido sacar una copia de la app de la TV box, la comparto por si alguien tiene interés:

https://mega.nz/file/jNYHmCCK#csDCM2V4Tbb71kB5xVNKxi5nhTAMrP34ZrqMP7Iwcus


La he subido a Virustotal:
xcpe 3.6.5.apk
SHA-256:  9d29f2a82c1500f09efc44c91ead1ebb400139a637546a9a0efe89b1a31cefd

Virustotal da 5/67. Solo 5 antivirus lo marcan como virus.

Respecto a la lista suministrada por elbrujo, el modelo Mecool KM1 aparece, el archivo xcpe 3.6.5.apk, aparece dos veces, pero mi SHA-256 no aparece.
El aparato es viejo, desde el 2021 no actualiza el firmware, solo las aplicaiones Android.

[pingperdido]

Que tu SHA-256 no salga en la lista no dice mucho, van sacando versiones nuevas y la lista solo recoge las que ya han visto. Con 5/67 y siendo una app de sistema que no se puede quitar sin root, yo no me fiaría y la pondría en la red de invitados, separada del resto de cosas de casa.

[Mr.Byte]

De aqui a 20 dias, es el Black Friday, creo que ya toca renovarlo.
Por el momento, nadie ha encontrado la forma de deshacerse de esta app, segun dice ni con Root, ni ADB
Instalaré un cortafuegos en el Tv Box para espiar su comportamiento, hasta el Black Friday.
Segun he leído, las primeras cosas que hacía, era desactivar el Play Protect, en mi caso esta activo.

https://www.mcafee.com/blogs/security-news/xcpe-botnet-android-tv-box/

[pingperdido]

Yo lo miraría desde fuera, en el router o con un Pi-hole, más que con un cortafuegos dentro de la propia TV box. Si la app es de sistema, lo que veas desde dentro puede no ser todo lo que hace.