Resumo
- A polícia japonesa e empresas de tecnologia, incluindo o Google, derrubaram uma botnet de 1,3 milhão de TV boxes infectadas com o malware XCPE, desenvolvido pela fabricante chinesa Videostrong.
- O malware foi incorporado ao firmware de dispositivos Android vendidos em mais de 200 países, incluindo o Brasil, e era usado para fraudes publicitárias e redes de proxy residencial.
- A operação também afetou outros 10 milhões de aparelhos e resultou na proibição da Videostrong de produzir dispositivos certificados com aplicativos do Google pré-instalados.
Uma operação conjunta de empresas de tecnologia e da polícia japonesa derrubou a infraestrutura de uma botnet formada majoritariamente por TV boxes. A rede tinha 1,3 milhão de dispositivos Android em mais de 200 países, incluindo o Brasil.
A investigação foi conduzida pelo Google, Lumen, Human Security, Plume, Synthient e TrendAI em colaboração com a Agência Nacional de Polícia do Japão. Em comunicado, o Google explica que o malware XCPE foi desenvolvido e operado intencionalmente pela fabricante chinesa Videostrong para obter ganhos financeiros.
TV boxes chegavam aos consumidores com backdoor
A Videostrong fabrica TV boxes, projetores e outros aparelhos Android para diferentes marcas. Segundo a investigação, o XCPE era incorporado ao firmware antes mesmo de esses produtos chegarem às mãos dos consumidores.
Ao se conectarem à internet, os dispositivos se comunicavam com servidores controlados pelos operadores da rede. O Google afirma que a Videostrong vendia acesso aos aparelhos comprometidos para outros grupos, que podiam instalar módulos adicionais de malware. Os dispositivos eram usados principalmente para fraudes publicitárias e redes de proxy residencial.
No caso dos proxies, a conexão de internet da vítima podia ser usada para encaminhar tráfego de terceiros. Assim, atividades realizadas por criminosos apareciam na internet como se partissem do endereço IP de uma residência comum.
A investigação também descobriu que os operadores do XCPE tinham ferramentas para executar comandos nos aparelhos. Eles podiam, por exemplo, instalar e remover apps, fazer capturas de tela e extrair informações de contas e do sistema.
Operação também afetou outros 10 milhões de aparelhos
Além da infraestrutura usada diretamente pelo XCPE, a operação mirou servidores utilizados pelos grupos que distribuíam malware pelo backdoor. Esses grupos espalhavam os programas por outros canais além das TV boxes, por isso, segundo o Google, a derrubada dos servidores pode ter interrompido o acesso a pelo menos outros 10 milhões de dispositivos comprometidos.
A empresa também rompeu relações com a Videostrong. A fabricante e futuras subsidiárias ou afiliadas foram proibidas de produzir dispositivos certificados com aplicativos do Google pré-instalados ou fornecer software para outros fabricantes certificados.
O Google afirma ainda ter modificado seu processo de análise de firmware depois de descobrir que a Videostrong utilizava técnicas para esconder o código durante os testes e carregá-lo somente depois da primeira inicialização do aparelho.
Malware continua instalado
A derrubada dos servidores não exclui o XCPE dos dispositivos afetados. Segundo a investigação, mesmo que seja removido pelo usuário, ele pode ser reinstalado automaticamente com o reinício do aparelho. No entanto, a ação interrompe a comunicação e evita o controle e monetização dos aparelhos.
Além de TV boxes e dispositivos IoT, os pesquisadores encontraram o XCPE em outros dispositivos Android, inclusive em projetores e máquinas de karaokê. A maior parte da botnet, porém, era formada por set-top boxes de TV.
Anatel ampliou bloqueios de TV boxes ilegais no Brasil
Segundo o mapa revelado pelo Google, o Brasil estaria entre os mercados com maior concentração de aparelhos infectados pela rede. TV boxes piratas não são um problema novo no país e têm sido enfrentadas de perto pela Anatel, que realizou 110 operações de bloqueio em 2025, atingindo 28.190 endereços IP e 5.420 URLs.
O caso do XCPE está relacionado ao mesmo ecossistema de ameaças do BadBox 2.0. Pesquisadores da Human Security revelaram, no ano passado, que o Brasil respondia por mais de um terço de todas as infecções globais de aparelhos usados em fraudes.
Desde 2023, a homologação de Smart TV Boxes por aqui também inclui requisitos específicos de segurança cibernética. A Anatel mantém uma lista atualizada de aparelhos homologados, reunindo modelos que passaram pelas avaliações exigidas para comercialização no Brasil.
Polícia e gigantes de tecnologia derrubam botnet com 1,3 milhão de TV boxes