Google derruba botnet escondida em TV boxes Android certificadas; Brasil está entre os mais afetados
O Google derrubou o XCPE, uma rede de aparelhos infectados montada pela própria fabricante de TV boxes Android certificadas, e o Brasil aparece entre os países com mais dispositivos afetados.
O Google anunciou em 2 de novembro de 2026 que desmontou o XCPE, uma botnet (rede de aparelhos controlados à distância por criminosos) escondida em mais de 1,3 milhão de TV boxes e outros dispositivos com Android. O detalhe que torna o caso diferente dos anteriores é quem estava por trás: segundo o Grupo de Inteligência de Ameaças do Google (GTIG), a responsável foi a Videostrong Technology, fabricante chinesa que produzia aparelhos com certificação oficial do Android TV. Ou seja, não se trata apenas de caixinhas piratas sem procedência, mas de equipamentos vendidos como aprovados pelo Google.
Como o golpe funcionava
De acordo com o relatório do Google, o programa malicioso vinha gravado no firmware de fábrica, com o nome de pacote x.cpe (às vezes com.oemservice), e rodava com privilégios de sistema. Se o usuário conseguisse desinstalá-lo, ele voltava sozinho na reinicialização seguinte, porque ficava guardado em uma partição protegida do aparelho. Para passar pelos testes de certificação, o código usava técnicas de ofuscação e só carregava a parte maliciosa depois da primeira inicialização do dispositivo, uma brecha que o próprio Google reconheceu existir em seus testes.
Uma vez ativo, o backdoor mantinha conexão permanente com servidores de comando e aceitava ordens remotas, como instalar aplicativos em silêncio, executar comandos, capturar a tela e simular toques de teclado. Ele também desligava o Google Play Protect, a proteção antivírus do Android, para não ser detectado. O Google afirma, com alta confiança, que a Videostrong vendia o acesso a esses aparelhos para grupos criminosos parceiros, que instalavam seus próprios módulos. Esses módulos exibiam anúncios invisíveis para fraudar publicidade, roubavam dados e transformavam a internet da casa do usuário em um “proxy residencial”, um ponto de saída por onde terceiros passavam tráfego sem que o dono soubesse. Segundo o Help Net Security, desde agosto de 2026 os operadores passaram a usar instaladores disfarçados de pacotes do sistema para dificultar a análise.
O Google diz ainda que encontrou o mesmo código em outros equipamentos baseados em Android, como aparelhos de telemedicina, máquinas de karaokê e painéis de sinalização digital.
O que o Google fez
A empresa entrou com ação judicial para derrubar os domínios e servidores usados para controlar a rede e cortou relações com a Videostrong, que fica proibida, junto com futuras subsidiárias, de fabricar aparelhos Android certificados ou fornecer software para outros fabricantes certificados. A operação teve a participação da Agência Nacional de Polícia do Japão e das empresas de segurança Lumen, HUMAN Security, Plume, Synthient e TrendAI. Como os servidores derrubados também atendiam mais de uma dúzia de famílias de malware ligadas aos parceiros criminosos, o Google estima que a ação cortou o acesso a pelo menos 10 milhões de outros aparelhos comprometidos, de vários fabricantes, além do 1,3 milhão da própria botnet.
O Google também diz ter mudado o processo de revisão de fabricantes para pegar código que só aparece depois da primeira inicialização e reforçado a checagem da integridade do firmware das TV boxes certificadas. Ao CyberScoop, a empresa preferiu não dar detalhes dessas mudanças, para não ajudar os criminosos a contorná-las, nem informar quando descobriu o problema.
Por que isso importa no Brasil
Segundo pesquisadores da TrendAI citados pelo CyberScoop, a rede estava espalhada por mais de 170 países, com as maiores concentrações na Malásia, no Brasil, no Iraque, no México e em Taiwan. O relatório do Google não traz números por país, então ainda não se sabe quantos aparelhos brasileiros foram afetados. O país já tinha aparecido no topo de outras redes do tipo, como a BadBox 2.0, que usava principalmente TV boxes sem homologação. A novidade agora é que nem o selo de certificação foi garantia suficiente.
O que fazer se você tem uma TV box Android
Com os servidores fora do ar, os criminosos perdem o controle sobre os aparelhos, mas o código continua gravado no firmware, já que ele se reinstala sozinho. O Google não publicou um passo a passo de verificação para o usuário comum. O relatório traz, porém, os nomes dos pacotes usados pela campanha, como x.cpe, com.oemservice e com.abc.nexus. Quem quiser conferir pode abrir Configurações, entrar em Apps, pedir para ver todos os aplicativos e ativar a exibição dos apps do sistema, procurando esses nomes. Encontrar um deles é sinal forte de problema; não encontrar, por outro lado, não prova que o aparelho está limpo, já que versões mais recentes usavam nomes disfarçados.
As recomendações oficiais do Google são comprar TV boxes apenas de fabricantes conhecidos, conferindo a lista de parceiros do Android TV, desconfiar de aplicativos que prometem pagar por “banda de internet não usada”, instalar apps só de lojas confiáveis e manter o Google Play Protect ativo, verificando nas configurações da Play Store se ele não foi desligado. Se a proteção aparecer desativada sem que você tenha mexido nela, ou se a internet da casa ficar lenta sem motivo com a TV box ligada, vale desconectar o aparelho da rede e considerar a troca.
O próprio Google admite que a derrubada é temporária: o mercado de backdoors, fraude de anúncios e proxies residenciais funciona como uma cadeia de fornecedores interligados e tende a se reorganizar. Os próximos pontos a observar são se a Videostrong vai responder às acusações, se surgirão listas oficiais dos modelos afetados e se a Anatel, que já vinha bloqueando TV boxes irregulares, vai se pronunciar sobre aparelhos certificados envolvidos no caso.
Fontes consultadas:
