Google desmantela botnet de 1,3 milhões de boxes de TV infetadas de fábrica

A Google e os seus parceiros desmantelaram o XCPE, um botnet de mais de 1,3 milhões de boxes Android TV, e baniram o fabricante chinês que, segundo a Google, o construiu. O malware não chegou através de uma aplicação má nem de um ataque: vinha gravado no firmware desde a fábrica. O Threat Intelligence Group da Google (GTIG) afirma «com elevado grau de confiança» que a porta traseira foi «intencionalmente desenvolvida, distribuída e operada para obter lucro» pela Videostrong Technology, um fabricante que produz boxes para muitas marcas. O relatório foi publicado a 2 de novembro.

Uma porta traseira de fábrica

Os componentes principais, x.cpe e com.oemservice, correm com privilégios de sistema do Android. Através deles, os operadores podiam instalar aplicações em silêncio, desativar o Google Play Protect, executar comandos, tirar capturas de ecrã, simular toques em teclas e recolher dados de contas e do dispositivo. Se o malware for removido, reinstala-se a partir da partição /oem/ ao reiniciar, por isso o reset de fábrica não resolve. Segundo a Google, o código foi integrado em «muitos modelos e marcas diferentes ao longo de vários anos», e trata-se de um negócio deliberado, não de «um funcionário desonesto isolado nem de um descuido de desenvolvimento».

A empresa de segurança Synthient, um dos parceiros, comprou no final de 2025 uma box MECOOL KM9PRO Max e encontrou o malware já instalado, noticia o BleepingComputer. Num servidor aberto do botnet encontrou ainda documentos do diretor de I&D da Videostrong, e as portas traseiras estavam assinadas com endereços de email da empresa. A maioria dos dispositivos infetados são boxes de TV, mas a Google encontrou a porta traseira também em aparelhos de telemedicina, máquinas de karaoke e ecrãs de sinalização digital. O botnet está espalhado pelo mundo e a Google não publicou uma divisão por países.

Como as boxes geravam dinheiro para outros

Segundo a Google, a Videostrong vendia o acesso à porta traseira a «afiliados» criminosos e carregava os módulos deles nas boxes. Alguns transformavam os dispositivos em nós de saída de redes de proxies residenciais: o tráfego de desconhecidos saía pela ligação doméstica e pelo endereço IP do dono. A Google cita entre os serviços de proxy envolvidos a Linkfog, AppSalt/Honeygain, GaGaNode, NetNut e Traffmonetizer, entre outros. Um SDK, escreve a Google, marcava sozinho a caixa de consentimento «sem mostrar qualquer interface». Outros módulos faziam fraude publicitária, carregando páginas ocultas e registando visualizações falsas, e alguns instalavam outras portas traseiras que a Google já tinha ligado à operação BadBox.

Para o dono, não se trata só de uma box lenta. O seu endereço IP aparece em tráfego que nunca enviou, o que pode trazer captchas, contas bloqueadas e suspeitas sobre atividades com as quais nada tem a ver.

O que a Google fez

Com a Agência Nacional de Polícia do Japão e as empresas Lumen, HUMAN Security, Plume, Synthient e TrendAI, a Google avançou com ações legais para derrubar os domínios e servidores que controlavam o XCPE. Também visou os servidores de comando de mais de uma dúzia de famílias de malware carregadas através da porta traseira, o que corta pelo menos mais 10 milhões de dispositivos infetados. A Google terminou a relação com a Videostrong e proibiu-a, bem como quaisquer futuras afiliadas, de fabricar dispositivos Android certificados ou fornecer software a fabricantes certificados. A empresa admite que a Videostrong usou ofuscação para contornar os testes de certificação e carregar o código malicioso depois do primeiro arranque, e diz ter mudado o processo de revisão.

Como se proteger

• Compre boxes de TV apenas de marcas que constem da lista de parceiros Android TV certificados da Google. As boxes baratas sem marca vendidas em marketplaces são as de maior risco. Como este caso mostra, a certificação não é garantia total, mas continua a ser o melhor filtro disponível.
• Se tem uma MECOOL KM9PRO Max ou outra box suspeita, o reset não resolve: o malware volta a partir da partição do sistema. Desligue-a já da internet e planeie substituí-la por um modelo certificado: uma box que não pode ser limpa não é segura.
• Mantenha o Google Play Protect ativo e instale aplicações apenas de lojas em que confia.
• Evite aplicações que pagam pela sua «largura de banda não utilizada» ou por «partilhar a internet». É exatamente assim que os proxies residenciais recrutam dispositivos.
• Veja no router a lista de dispositivos ligados e as estatísticas de tráfego. Uma box que envia muitos dados com a TV desligada é um sinal de alerta. O nosso guia explica como verificar se uma box de TV está a trabalhar para outra pessoa.

Não é o primeiro caso do género. No verão escrevemos sobre 120 mil boxes Android TV que alugavam a ligação doméstica dos donos e sobre o desmantelamento do botnet de proxies NetNut. O XCPE é maior, e desta vez a Google aponta para o próprio fabricante.