Seguridad · Actualizado 2026-09-15
¿Xuper TV es seguro? Lo que encontramos al abrir el archivo
La respuesta honesta: no se puede garantizar. Varios motores antivirus ponen a estas apps la etiqueta PUA (aplicación potencialmente no deseada), y en nuestra propia prueba un archivo de un competidor, con el nombre y el tamaño exactos, acabó en cuarentena como troyano. El peligro grande no está en el APK original, sino en las copias alteradas que circulan con el mismo nombre. Aquí va lo que encontramos, sin maquillaje.
Resumen
- Clasificación: PUA
- Troyano en competidor: Confirmado
- Permisos: Más de los necesarios
- Riesgo real: Los «mods»
- El peso no prueba nada: El hash, sí
- Tienda oficial: No está
El día que nuestro antivirus gritó
Esta página no se fía de lo que dicen los foros: lo probamos. El 16 de septiembre de 2026 descargamos los archivos que ofrecen los principales sitios del nicho y los pasamos por Windows Defender antes de mirarlos siquiera.
El resultado conviene que lo sepas: el único archivo cuyo tamaño coincidía exactamente con la build que publicamos acabó en cuarentena. Defender lo identificó como Trojan:AndroidOS/SAgnt!MTB, con severidad 5 sobre 5, en dos descargas independientes. La herramienta de hash del propio Windows se negó a procesarlo: «el archivo contiene un virus o software potencialmente no deseado».
Lo que esto demuestra
Un archivo con el nombre y el tamaño exactos de la app que buscas puede ser un troyano. El peso correcto no prueba nada: es justo lo que un atacante copiaría para que no desconfíes.
Lo que esto no demuestra
Que el APK original tenga malware. Demuestra que el nicho está lleno de copias manipuladas y que «parece el mismo archivo» no es una comprobación.
La lección, con una prueba detrás: verifica el hash, no el nombre.
Por qué grita: la etiqueta PUA
PUA son las siglas de Potentially Unwanted Application: la casilla intermedia entre «programa legítimo» y «malware». El software no hace nada confirmadamente malicioso, pero tampoco cumple los requisitos de confianza de un canal verificado. Distribución fuera de tienda, permisos amplios y cero auditoría son los tres ingredientes que activan la etiqueta, y ESET la aplica a builds de este modelo.
En la práctica lo verás así: Google Play Protect o tu antivirus te avisarán antes o durante la instalación, y Android te pedirá confirmar que aceptas el riesgo. Ese aviso no es un falso positivo que haya que esquivar: es información. Si decides seguir, hazlo sabiendo qué estás aceptando.
Lo que hay dentro de nuestro archivo
Sería fácil quedarnos señalando a los demás. Así que sometimos al mismo examen la copia que alojamos en nuestro servidor, y publicamos lo que salió. Si vas a instalar algo, mereces saber qué hay dentro antes de abrirlo.
- Tamaño: 51.092.433 bytes (51 MB).
- SHA-256:
06be38fc1549843dfee5497dadf34d517befa09eb15b8e093a1e5737aab33f14 - Antivirus: limpio. Windows Defender lo analizó por completo, sin cuarentena.
- Paquete interno:
com.mobile.brasiltv, una base de IPTV de marca blanca.
Hasta aquí, bien. Pero hay dos cosas que no vamos a ocultarte, porque son justo el tipo de detalle que los demás omiten.
La app viaja empaquetada
De los 51 MB, unos 46,7 MB son librerías nativas, entre ellas
libranger-jni.so y libdexjni.so, propias de un
packer comercial. Eso significa que el código está cifrado y que
un antivirus no puede ver dentro. Un resultado «limpio» aquí vale menos
que en una app normal: dilo tú mismo antes de fiarte de cualquier escaneo, incluido el nuestro.
Pide permiso para instalar otras apps
Solicita REQUEST_INSTALL_PACKAGES, además de
MANAGE_EXTERNAL_STORAGE, CAMERA y DUMP. El primer
permiso deja que la app instale otros APK. En apps fuera de Google Play se usa a menudo
para autoactualizarse, pero también es el vector clásico de un dropper. No la
instales en tu móvil principal.
Nuestra postura: este es el archivo que distribuye todo el nicho. La copia de otros tres dominios es la misma app, con idéntico CRC en cada entrada y solo los sellos de tiempo distintos. Defender lo da por limpio y lo alojamos nosotros para que al menos sepas qué estás descargando. Lo que no vamos a hacer es llamarlo «verificado» cuando el propio empaquetado impide verificarlo del todo. Compruébalo tú:
certutil -hashfile xuper-tv-latest.apk SHA256Si el hash no coincide con el de arriba, no lo instales y avísanos.
Los permisos, traducidos a humano
Los nombres técnicos no dicen nada. Esto es lo que pide la app, en lenguaje normal, y por qué cada permiso merece una segunda mirada:
| Permiso | En lenguaje normal | Nivel | Por qué llama la atención |
|---|---|---|---|
GET_TASKS | Sabe qué aplicaciones tienes abiertas | Medio | Sirve para construir un perfil de cómo usas el dispositivo. |
MOUNT_UNMOUNT_FILESYSTEMS | Monta y desmonta el almacenamiento | Alto | Es un permiso de sistema; una app de televisión no lo necesita. |
POST_NOTIFICATIONS | Te muestra notificaciones | Bajo | Uso publicitario habitual, molesto si se abusa. |
READ_EXTERNAL_STORAGE | Lee los archivos de tu dispositivo | Alto | Fotos, documentos y descargas quedan al alcance. |
READ_MEDIA_AUDIO | Lee tu biblioteca de audio | Medio | Sin relación con reproducir vídeo en streaming. |
La lectura correcta no es «esto es un troyano». Es esta: una app para ver televisión no necesita montar sistemas de archivos ni leer tu biblioteca de audio. Puede haber una explicación técnica para cada permiso, pero sin auditoría externa no hay forma de comprobarla. Y por eso no está en Google Play: las tiendas oficiales exigen justo esa auditoría.
El peligro de verdad no es el original: son los clones
Con el APK original, el balance es el de arriba: dudas razonables, ningún malware confirmado. Con las copias alteradas, el balance cambia por completo. Los «mods», las versiones «premium gratis» y las reediciones con otros nombres (como las builds «Xuper Hydra») son la vía por la que sí entra malware de verdad en este nicho. Es el riesgo número uno, con mucha diferencia sobre el resto. La regla es absoluta: nunca instales una versión alterada por un tercero, por muy tentadora que suene la promesa.
Por eso ninguna de nuestras descargas apunta a servidores ajenos. Si algún día ves aquí un enlace externo, exige el SHA-256 y compruébalo tú mismo antes de instalar nada.
Si la vas a usar de todos modos: el protocolo mínimo
Entendemos por qué: no hay alternativa gratuita al deporte en directo. Si vas a instalarla igual, estas seis comprobaciones eliminan la mayor parte del peligro real:
1. Comprueba el hash, no el peso
El tamaño lo copia cualquiera; el SHA-256, no. Compáralo con el publicado arriba antes de instalar.
2. Ni «mods» ni «premium»
Toda versión que prometa funciones desbloqueadas gratis es, con mucha probabilidad, un vehículo de malware. La regla más importante de todas.
3. Escanea antes de abrir
Pasa el APK por el antivirus del dispositivo antes de instalarlo. Tarda un minuto y filtra la mayoría de las copias manipuladas.
4. Lee los permisos al instalar
Android los muestra antes de instalar. Si aparece algo sin sentido para una app de vídeo, cancela.
5. No la pongas en tu móvil principal
Un dispositivo secundario, un TV Box o un Fire TV Stick limitan la exposición de tus datos personales de la forma más simple.
6. Cero datos de pago
La app no necesita tarjeta ni método de pago para funcionar. Si algo te lo pide, para el proceso: no es la app original.
La VPN no hace lo que crees
Se recomienda mucho y se entiende mal. Una VPN cifra el tráfico entre tu dispositivo y el destino, lo que impide que tu proveedor de internet vea qué estás viendo. Eso es privacidad, y está bien. Pero no hace nada contra un archivo malicioso: si instalas un APK con malware, la VPN no te protege. Úsala por privacidad si quieres, pero no la confundas con una medida de seguridad frente al propio archivo.
Segura y legal no son lo mismo
Que una app sea técnicamente segura no la hace legal, y que sea legal no garantiza que sea segura. Xuper TV tiene dudas en las dos columnas: se mueve en una zona gris de licencias y en una zona gris de confianza técnica. Las dos caras están explicadas por separado en ¿Xuper TV es legal? y en esta página.
Si lo que quieres es no tener que hacer ninguna de estas comprobaciones, la respuesta son las plataformas legales en tiendas oficiales: pasan auditoría, piden permisos razonables y no exigen que confíes en un archivo de procedencia desconocida. La lista está en alternativas legales.
Preguntas frecuentes
Mi antivirus dice que Xuper TV es peligroso, ¿le hago caso?
Sí, al menos escúchalo. Varios motores, entre ellos ESET, clasifican estas builds como PUA: aplicación potencialmente no deseada. No es lo mismo que un virus confirmado, pero tampoco es un falso positivo que haya que esquivar: es el antivirus diciéndote que no puede garantizar la procedencia ni el comportamiento del archivo.
¿Xuper TV tiene virus?
El APK original no se distribuye con malware clásico, pero en nuestra propia prueba un archivo de un sitio competidor, con el nombre y el tamaño exactos, acabó en cuarentena como Trojan:AndroidOS/SAgnt!MTB con severidad 5 sobre 5. El peligro real está en las copias alteradas, no en el original.
¿Qué significa que sea PUA?
Potentially Unwanted Application: la casilla intermedia entre programa legítimo y malware. El software no hace nada confirmadamente malicioso, pero se distribuye fuera de tienda, pide permisos amplios y nadie lo audita. Android y los antivirus te avisan antes de instalarlo.
¿Qué permisos pide y por qué importan?
Aparte de los de red, se han documentado GET_TASKS (ver tus apps abiertas), MOUNT_UNMOUNT_FILESYSTEMS (montar almacenamiento), POST_NOTIFICATIONS, READ_EXTERNAL_STORAGE y READ_MEDIA_AUDIO. Uno por uno tienen usos legítimos; juntos son más de lo que una app de streaming necesita, y no hay forma de auditar qué hace con esos datos.
¿Basta con que el archivo pese lo correcto?
No. En nuestra prueba, el archivo malicioso pesaba exactamente lo mismo que el original: el tamaño correcto es justo lo que un atacante copiaría para que no desconfíes. La única comprobación que sirve es el hash SHA-256.
¿De dónde viene el riesgo real?
De las copias alteradas. Los «mods», las versiones «premium gratis» y las reediciones con otros nombres son la vía por la que entra malware de verdad en este nicho. Nunca las instales.
¿Una VPN me protege?
No del archivo. Una VPN cifra el tráfico y oculta qué ves a tu proveedor de internet, pero si instalas un APK con malware, la VPN no hace nada contra él. Úsala por privacidad, no como escudo contra el propio archivo.
¿Qué hago si ya la instalé y me arrepiento?
Desinstálala desde Ajustes → Aplicaciones y revisa los permisos que hayas dado a otras apps instaladas por la misma vía. Pasar el antivirus del dispositivo después es un paso razonable.
¿Puedo instalarla en mi móvil principal?
No lo recomendamos. Si tienes un dispositivo secundario, un TV Box o un Fire TV Stick, instálala ahí: es la forma más simple de limitar la exposición de tus datos personales.
¿Por qué no está en Google Play?
Porque las tiendas oficiales exigen licencias de contenido y auditoría de código, dos cosas que este modelo no puede pasar. Su ausencia de la tienda es en sí misma una señal sobre el nivel de confianza que puedes depositar.
Archivo escaneado el 2026-09-16. Verifica el SHA-256 antes de instalar:
06be38fc1549843dfee5497d… · Ver en VirusTotal