O Google anunciou a derrubada de uma botnet formada por mais de 1,3 milhão de aparelhos Android, em sua maioria do tipo TV box, que perdeu o controle de seus servidores no fim de outubro. Segundo a empresa, a fabricante chinesa Videostrong instalou de propósito uma backdoor nos dispositivos e vendeu o acesso a criminosos, que usavam as conexões de internet residenciais dos donos para esconder tráfego e fraudar anúncios.
O Brasil aparece entre os cinco países com mais aparelhos infectados, segundo a TrendAI, unidade corporativa da Trend Micro. A operação contou com a Agência Nacional de Polícia do Japão e com empresas como Lumen, HUMAN Security, Plume e Synthient. Para tirar do ar os domínios e servidores que comandavam a rede, o Google recorreu a ações judiciais. A backdoor, porém, continua nos aparelhos, e o dono não consegue removê-la sozinho.
Leia mais:
- Antenas Starlink desmontadas são achadas em cela de presídio do Rio
- Criminosos tentam dar golpe em nome da TIM e citam bloqueio de CPF
- Google vincula telefone a contas Android sem pedir permissão
COMO A BACKDOOR FUNCIONAVA
Batizada de x.cpe, a backdoor roda como um aplicativo de sistema dentro do firmware, com o mesmo nível de acesso do próprio Android. Ela se comunica com os servidores de comando e controle (C2) da botnet e fica à espera de instruções. Para instalar programas sem chamar atenção, o código desativa antes as verificações do Google Play Protect, recurso de segurança nativo do sistema. O Google afirma que ela esteve presente em vários modelos e marcas ao longo de anos.
A maior parte dos módulos carregados pelos criminosos transformava os aparelhos em proxies residenciais ou revendia a banda ociosa da conexão. Na prática, um serviço desse tipo vende acesso à internet de uma casa comum, de modo que o tráfego do cliente parece vir de um usuário doméstico qualquer. Outros módulos simulavam visualizações de anúncios on-line. Para quem paga a banda larga, isso significa ter a própria conexão usada por terceiros sem autorização.
O alcance ia além do uso da conexão. Com a backdoor, os operadores podiam instalar apps sem o dono perceber, executar comandos, capturar a tela e mapear a rede em que a caixinha estava ligada. O Google diz ter visto a equipe da Videostrong usar parte desses recursos, com capturas de tela ao vivo, envio de toques de teclado, cópia de dados de contas, listas de apps e registros do sistema, além da abertura de shells reversos, que dão acesso remoto por linha de comando.
Conteúdo sobre banda larga, telefonia móvel e streaming em um só lugar. Siga o Minha Operadora nas redes sociais e receba notícias atualizadas diariamente: curta no Facebook, siga no Instagram, inscreva-se no YouTube e fique conectado pelo X (Twitter).
Você também pode gostar
BRASIL ENTRE OS PAÍSES MAIS AFETADOS
A TrendAI contabilizou 1.472.554 aparelhos infectados, distribuídos em 206 modelos, entre 3 de junho e 1º de outubro, e avalia que o número real é pelo menos esse. Embora a maioria seja TV box, a backdoor também apareceu em equipamentos de telemedicina, máquinas de karaokê e painéis digitais. O levantamento coloca o Brasil no grupo dos cinco países mais afetados e separa os mercados em duas faixas, de acordo com o volume de aparelhos comprometidos:
| Faixa | Países | Aparelhos infectados |
|---|---|---|
| Mais afetados | Malásia, Brasil, Iraque, México e Taiwan | Maiores concentrações do levantamento |
| Segunda faixa | Estados Unidos, Alemanha, Reino Unido, Austrália e Canadá | Entre 26 mil e 42 mil em cada país |
Além da infraestrutura da própria botnet, o Google derrubou os domínios de controle de mais de uma dúzia de famílias de malware instaladas pela backdoor. Como esses criminosos também espalhavam os programas por outros meios, a empresa calcula que a ação corta o acesso deles a pelo menos 10 milhões de aparelhos adicionais. O Google, porém, alerta que esse tipo de grupo costuma migrar rápido para novas ferramentas quando parte da estrutura cai.
COMO A VIDEOSTRONG FOI IDENTIFICADA
Sediada em Shenzhen, na China, a Videostrong produz TV boxes e outros dispositivos Android com marca própria e para terceiros. O Google diz ter alta confiança de que a backdoor foi colocada de forma intencional e descarta a hipótese de erro ou de um funcionário agindo por conta própria. A Synthient, que monitora redes de proxy e botnets, chegou à mesma conclusão. Os principais indícios reunidos pelas empresas que participaram da investigação são:
- Integração com apps da marca: o x.cpe repassa configurações do servidor de controle a outros aplicativos da Videostrong, como o YokaTV Player;
- Conta no GitHub: um dos perfis que hospedavam os pacotes da botnet se chama yf-videostrong;
- Documento interno: a Synthient achou, em uma pasta aberta de um dos servidores, um arquivo assinado pelo diretor de pesquisa e desenvolvimento da fabricante;
- Endereço compartilhado: um domínio da Videostrong divide o mesmo IP com o painel de controle dos operadores;
- Controle do software: a Plume, que desenvolve software de Wi-Fi para provedores, constatou que a empresa fornece o firmware e as ferramentas de gestão remota dos aparelhos.
BRECHA NA CERTIFICAÇÃO DO ANDROID
Para obter certificação, fabricantes precisam passar por uma bateria de testes de compatibilidade e segurança do Google. Segundo a empresa, a Videostrong escondeu o código para explorar uma falha nesse processo, carregando a parte maliciosa só depois do primeiro boot do aparelho. O Google afirma ter alterado a revisão e reforçado a checagem de firmware das TV boxes certificadas. Mesmo assim, em 2 de novembro, o site da fabricante ainda exibia produtos anunciados como certificados pelo Google.
A empresa rompeu com a Videostrong e a proibiu, junto de futuras subsidiárias e afiliadas, de fabricar ou vender aparelhos Android certificados e de fornecer software a outros fabricantes homologados. A Plume aponta que a botnet reunia dispositivos certificados e modelos com a versão aberta do sistema, o AOSP, mas o Google não informou quantos certificados foram atingidos. Na BadBox 2.0, alvo de processo em julho de 2025, os mais de 10 milhões de aparelhos eram todos não certificados.
O QUE FAZER SE VOCÊ TEM UMA TV BOX
Como o x.cpe faz parte do firmware, apagá-lo não resolve, já que ele se reinstala quando a caixinha reinicia. A TrendAI explica que o código é assinado com a chave do fabricante e que a limpeza exige “ação do fabricante, proteção da plataforma ou substituição do aparelho”. A Synthient publicou uma lista com 182 nomes de modelos vistos na campanha, com destaque para a marca MECOOL, mas ressalta que o nome do modelo sozinho não confirma a infecção.
A Plume recomenda uma restauração completa de fábrica, porque os módulos podem ter instalado outras backdoors, mas não diz se o procedimento remove o x.cpe. A Synthient vai além e orienta o consumidor a descartar de vez esses aparelhos, que considera de alto risco. A própria empresa comprou um MECOOL KM9PRO Max e encontrou a backdoor pré-instalada. Para empresas e redes com muitos dispositivos conectados, a recomendação é seguir alguns passos:
- Usar os indicadores publicados pela Synthient para localizar aparelhos MECOOL ou similares na rede;
- Desconectar e descartar os dispositivos encontrados;
- Bloquear os domínios de controle e endereços IP listados no relatório;
- Manter outros aparelhos inteligentes em segmentos de rede separados, longe de sistemas sensíveis.
A TrendAI acrescenta que companhias com funcionários em home office devem tratar aparelhos de consumo sem gestão nas redes domésticas como parte da superfície de ataque, mantendo o acesso corporativo restrito a dispositivos gerenciados. Para o consumidor comum, o conselho do Google é simples e serve como alerta para quem tem uma caixinha dessas ligada na sala: comprar TV box apenas de fabricantes conhecidos e evitar aparelhos de origem duvidosa.
