Fabricante Videostrong é acusada de instalar uma porta dos fundos nos dispositivos e vender acesso a criminosos; operação também pode interromper conexões com milhões de outros aparelhos comprometidos.
Uma operação liderada pelo Google desarticulou uma rede criminosa que transformava aparelhos Android TV em ferramentas para fraudes publicitárias, espionagem digital e ocultação de atividades na internet. Segundo a empresa, mais de 1,3 milhão de dispositivos foram incorporados à botnet XCPE, criada a partir de um malware instalado diretamente no firmware dos aparelhos.
O caso chama a atenção porque, segundo a investigação do Google, a ameaça não surgiu apenas de um ataque externo à cadeia de fornecimento. A própria fabricante dos dispositivos, a chinesa Videostrong Technology, teria desenvolvido, distribuído e operado o software malicioso para obter lucro.
Em relatório publicado em 2 de novembro, o Google informou que trabalhou com empresas de segurança e autoridades para derrubar a infraestrutura usada no controle da rede. A operação também atingiu servidores de comando associados a mais de uma dezena de outras famílias de malware.
A companhia estima que essa segunda medida possa interromper o acesso a pelo menos outros 10 milhões de dispositivos comprometidos. Esse número, porém, não significa que todos esses aparelhos tenham sido infectados pelo XCPE: trata-se de equipamentos associados a outras ameaças que utilizavam parte da infraestrutura desativada.
Aparelhos vendidos normalmente escondiam acesso remoto
De acordo com o Google Threat Intelligence Group, a Videostrong teria incorporado uma porta dos fundos, conhecida como XCPE, ao firmware de diferentes modelos de dispositivos Android ao longo de vários anos.
A maioria dos equipamentos identificados era formada por TV boxes usadas para transformar televisores em centrais de streaming. Também foram encontrados dispositivos de outras categorias, incluindo equipamentos de teleatendimento, máquinas de karaokê e painéis de sinalização digital.
O problema é que o software malicioso não funcionava apenas como um aplicativo comum que poderia ser desinstalado pelo usuário. Ele tinha privilégios elevados no sistema e mecanismos de persistência que permitiam sua reinstalação após uma reinicialização.
Segundo a investigação, o código podia buscar componentes adicionais em servidores remotos e executar comandos sem que o proprietário soubesse o que estava acontecendo. Os operadores também empregavam técnicas de ofuscação para dificultar a análise e escapar dos mecanismos de verificação.
O Google afirma que a fabricante explorou uma brecha no processo de testes de compatibilidade e segurança dos dispositivos certificados. O código malicioso podia ser carregado depois da primeira inicialização, dificultando sua identificação durante as verificações anteriores à comercialização.
Como a rede era usada por criminosos
A infraestrutura XCPE permitia transformar aparelhos domésticos em pontos de acesso controlados remotamente. Em vez de depender exclusivamente de computadores infectados, os criminosos podiam utilizar dispositivos conectados à internet em residências e outros ambientes para executar diferentes atividades ilícitas.
Entre os usos identificados estão:
- Fraudes publicitárias: execução de atividades destinadas a gerar visualizações ou interações fraudulentas com anúncios.
- Rede de proxies residenciais: utilização da conexão e do endereço IP real dos proprietários para encaminhar o tráfego de terceiros.
- Instalação de outros malwares: distribuição de componentes adicionais, ampliando as possibilidades de exploração dos aparelhos.
- Coleta de informações: acesso a dados do dispositivo, registros do sistema e outras informações potencialmente sensíveis.
- Execução remota de comandos: controle de determinadas funções do aparelho sem autorização do usuário.
O uso de proxies residenciais merece atenção especial. Como o tráfego passa por conexões domésticas legítimas, a atividade pode parecer originada de um usuário comum, dificultando a identificação de quem está por trás da operação.
Isso também pode associar o endereço IP do proprietário a atividades que ele não realizou. Dependendo do uso dado à conexão, o aparelho pode servir de intermediário para tentativas de acesso a contas, coleta automatizada de informações e outras operações abusivas.
O relatório do Google descreve ainda a captura de telas, a injeção de comandos e a extração de informações sensíveis. Portanto, o risco não se limitava ao consumo de banda ou à exibição de anúncios fraudulentos.
Google corta relações com a fabricante
Para interromper a operação, o Google informou ter adotado medidas legais contra os domínios e servidores utilizados pela Videostrong para controlar a botnet e distribuir componentes maliciosos.
A empresa também atuou contra domínios de comando e controle associados a mais de uma dezena de famílias de malware carregadas por meio da infraestrutura investigada.
Além disso, a Videostrong e suas futuras subsidiárias e afiliadas foram proibidas de fabricar e comercializar dispositivos Android certificados com aplicativos do Google e de fornecer software para outros fabricantes certificados, conforme as medidas anunciadas pela companhia.
A operação contou com a participação da Agência Nacional de Polícia do Japão, da Lumen, da HUMAN Security, da Plume, da Synthient e da TrendAI.
O Google também informou que reforçou os procedimentos de verificação da integridade do firmware dos dispositivos Android TV certificados. O objetivo é dificultar que fabricantes carreguem código malicioso depois da etapa inicial de análise.
A empresa não divulgou quanto a Videostrong teria arrecadado com o esquema nem identificou publicamente todos os clientes criminosos que compraram acesso à rede.
Derrubar os servidores não garante que os aparelhos estejam limpos
Apesar do impacto da operação, existe uma diferença importante entre interromper o controle de uma botnet e remover o malware de cada dispositivo.
Como parte do código estava incorporada ao firmware e possuía mecanismos de persistência, um aparelho afetado pode continuar comprometido mesmo depois que os servidores originais deixam de funcionar. A infraestrutura também pode mudar, ou outros operadores podem tentar explorar os dispositivos por caminhos diferentes.
Até a publicação do relatório, o Google não havia apresentado uma lista pública completa de todos os modelos comerciais atingidos. Por isso, não é possível concluir que uma TV box específica esteja infectada apenas com base em sua aparência, marca ou sistema operacional.
O episódio também não deve ser confundido com todos os casos de aparelhos vendidos com malware pré-instalado. Em algumas investigações anteriores, pesquisadores encontraram códigos maliciosos inseridos durante a cadeia de fornecimento sem o conhecimento do fabricante original. No caso XCPE, a acusação do Google é mais grave: a empresa afirma ter identificado uma operação deliberada conduzida pela própria fabricante.
O que fazer se você utiliza uma TV box Android
Quem possui um aparelho Android TV de procedência desconhecida deve adotar medidas preventivas, especialmente quando o equipamento não recebe atualizações regulares ou utiliza firmware sem origem verificável.
Algumas recomendações importantes são:
- Verifique a procedência: prefira dispositivos de fabricantes reconhecidos e confira se o modelo aparece entre os parceiros oficiais do Android TV.
- Mantenha o sistema atualizado: instale atualizações oficiais de firmware sempre que estiverem disponíveis.
- Desconfie de aplicativos que pagam para compartilhar internet: esse tipo de serviço pode transformar o aparelho em um ponto de saída para o tráfego de terceiros.
- Separe os dispositivos conectados: se o roteador permitir, mantenha TV boxes e outros equipamentos de Internet das Coisas em uma rede separada da utilizada por computadores e celulares.
- Procure suporte oficial: se houver suspeita de comprometimento, desconecte o equipamento da internet e entre em contato com o fabricante ou vendedor para verificar a disponibilidade de firmware comprovadamente limpo ou de substituição.
Não confie apenas em uma restauração de fábrica ou na desinstalação de aplicativos para resolver o problema. Quando o código malicioso está incorporado ao firmware, essas medidas podem não eliminá-lo.
O caso XCPE evidencia uma fragilidade importante no mercado de dispositivos conectados: a certificação de uma plataforma não garante, por si só, que todos os componentes e atualizações futuras permaneçam seguros. A proteção também depende da integridade do firmware, da fiscalização dos fabricantes e da capacidade de identificar alterações maliciosas após a venda.
A derrubada da rede representa um avanço no combate à operação, mas não encerra o problema. Enquanto aparelhos comprometidos permanecerem conectados e o mercado de acesso clandestino a conexões residenciais continuar ativo, outras estruturas poderão tentar ocupar o espaço deixado pela XCPE.
Fontes: Google Cloud Threat Intelligence, relatório Shutting the Door on the XCPE Botnet, publicado em 2 de novembro de 2026; SecurityWeek; BleepingComputer.