Uma operação internacional liderada pelo Google revelou um problema grave na fabricação de dispositivos Android: mais de 1,3 milhão de aparelhos foram comprometidos antes mesmo de chegar às mãos dos consumidores. A rede criminosa, identificada como XCPE, utilizava TV Boxes e outros equipamentos conectados à internet para executar atividades clandestinas, incluindo fraudes publicitárias, espionagem e comercialização de conexões residenciais.
O caso chama atenção porque os consumidores não precisavam instalar aplicativos suspeitos, acessar páginas maliciosas ou clicar em links fraudulentos para serem afetados. O código responsável pela infecção já estava incorporado ao firmware dos equipamentos. A investigação atribuiu, com alto grau de confiança, o desenvolvimento e a operação desse ecossistema à fabricante chinesa Videostrong Technology, empresa que atua na produção de dispositivos comercializados sob diferentes marcas, incluindo equipamentos associados à MECOOL.
O Brasil está entre os países mais afetados pela operação, que alcançou mais de 200 países e territórios. Além de interromper servidores utilizados pelos criminosos, o Google anunciou o rompimento dos vínculos com a fabricante e mudanças nos procedimentos de verificação de firmware. A descoberta também expõe uma questão importante: até que ponto o consumidor pode confiar na segurança de um aparelho que recebe certificação para utilizar os serviços oficiais do Android?
Como a botnet XCPE infectava TV Boxes Android
A ameaça recebeu o nome de XCPE, em referência ao componente malicioso x.cpe, incorporado ao firmware de diferentes modelos de dispositivos Android.
Segundo a investigação do Google Threat Intelligence Group, o código estava presente nos equipamentos antes da comercialização. Isso caracteriza um comprometimento da cadeia de fornecimento, situação em que uma ameaça é introduzida durante a fabricação, preparação ou distribuição de um produto, em vez de surgir depois que ele chega ao consumidor.
O funcionamento do malware evoluiu ao longo dos anos. Desde pelo menos o final de 2024, os operadores passaram a utilizar uma arquitetura modular, dividida em componentes com responsabilidades diferentes. Essa estratégia dificultava a identificação da ameaça e permitia distribuir novas funcionalidades sem precisar substituir todo o backdoor.
O componente principal, x.cpe, também identificado como com.oemservice em determinadas versões, era instalado como aplicativo de sistema e executado com privilégios associados ao identificador android.uid.system.
Na prática, isso concedia ao código acesso muito superior ao de um aplicativo convencional. O componente podia interagir com serviços internos do Android, estabelecer comunicação com servidores externos e receber instruções para executar operações remotamente.
Backdoor persistente dificultava a remoção
Um dos aspectos mais preocupantes do XCPE era sua capacidade de permanecer instalado mesmo depois de tentativas de remoção.
O componente principal ficava incorporado à partição de firmware do equipamento. Quando o dispositivo era iniciado, um mecanismo verificava a existência do pacote correspondente no diretório /oem/ e podia reinstalá-lo na partição de aplicativos.
Isso significa que simplesmente desinstalar o aplicativo não eliminava necessariamente a ameaça. Após uma reinicialização, o mecanismo de persistência podia restaurar o componente malicioso.
A estratégia também complicava a identificação do problema por ferramentas convencionais. Como o backdoor fazia parte do ambiente de sistema, sua presença poderia passar despercebida durante verificações superficiais.
Como os criminosos controlavam os aparelhos
A comunicação entre os dispositivos infectados e os operadores utilizava uma arquitetura de duas etapas.
Primeiro, o malware realizava requisições HTTP para obter configurações dinâmicas, informações de localização e parâmetros necessários à comunicação. Depois, estabelecia uma conexão persistente utilizando MQTT, protocolo bastante empregado em dispositivos conectados por consumir poucos recursos de rede.
Por meio dessa conexão, os operadores podiam enviar instruções aos equipamentos, incluindo:
- Capturas de tela: obtenção de imagens da interface exibida no dispositivo.
- Execução remota de comandos: envio de comandos de shell e scripts para executar operações no Android.
- Coleta de informações: extração de dados sobre o aparelho, aplicativos instalados, contas e registros do sistema.
- Reconhecimento da rede: identificação de características da conexão, endereços IP e informações de roteamento.
- Instalação de componentes: distribuição silenciosa de aplicativos e módulos adicionais.
O Google também identificou atividades que envolviam injeção de comandos e interação remota com os dispositivos. Essas capacidades demonstram que o XCPE não era apenas um mecanismo de publicidade indesejada, mas uma infraestrutura de acesso remoto que poderia ser explorada por diferentes grupos criminosos.
Google Play Protect também foi desativado
A investigação revelou que o backdoor tinha capacidade de enfraquecer as próprias proteções do Android.
Um dos comandos identificados pelos pesquisadores utilizava a função AppUtils.disablePackageVerify() para modificar a configuração global package_verifier_user_consent, atribuindo o valor -1.
Essa alteração desativava a verificação de aplicativos do Google Play Protect, facilitando a instalação de componentes sem as verificações de segurança normalmente aplicadas pelo sistema.
O detalhe é particularmente grave porque o usuário poderia acreditar que estava utilizando um equipamento protegido pelos mecanismos oficiais do Android, enquanto o próprio firmware permitia que operadores externos enfraquecessem essas proteções.
Videostrong é apontada como responsável pela operação
A investigação do Google atribuiu, com alto grau de confiança, o desenvolvimento, a distribuição e a monetização do XCPE à Videostrong Technology Co., fabricante chinesa que trabalha como OEM e ODM no mercado de dispositivos Android.
Essas empresas desenvolvem equipamentos e firmwares que podem ser comercializados por diferentes marcas. Isso significa que um mesmo fornecedor pode distribuir uma plataforma de software para diversos modelos de TV Boxes, projetores e outros dispositivos conectados.
Entre as evidências técnicas identificadas estão referências a equipamentos associados à MECOOL. O malware consultava a propriedade de sistema ro.mecool.device para determinar qual infraestrutura de comunicação deveria utilizar. O relatório também menciona o software YokaTV Player, integrado ao ecossistema de aplicativos da fabricante.
Outro elemento importante foi a infraestrutura de distribuição. Os pesquisadores identificaram arquivos hospedados em páginas e lançamentos do GitHub controlados pelos operadores, além de servidores utilizados para armazenar configurações, scripts e módulos adicionais.
A análise dos servidores de comando e controle também revelou registros de operações realizadas nos dispositivos, incluindo instalação e remoção de aplicativos, capturas de tela, coleta de informações e execução de comandos remotos.
Para o Google, as evidências indicam uma operação estruturada para obter lucro, e não um simples erro isolado de desenvolvimento ou a ação de um funcionário mal-intencionado.
Brasil aparece entre os países com mais aparelhos infectados
Os números levantados pela TrendAI ajudam a dimensionar o alcance da operação.
Durante o período de 3 de junho a 1º de outubro de 2026, a empresa contabilizou 1.472.554 dispositivos infectados, distribuídos por 206 modelos e mais de 170 países.
A diferença entre esse levantamento e os mais de 1,3 milhão anunciados pelo grupo responsável pela operação decorre dos diferentes períodos de observação e métodos de coleta utilizados pelos participantes.
O Brasil aparece entre os cinco países com maior número de dispositivos identificados, acompanhado por Malásia, Iraque, México e Taiwan. O relatório não apresenta, nesse levantamento, uma quantidade individual consolidada para o mercado brasileiro.
Outro indicador impressionante envolve os endereços IP utilizados pela rede. Foram identificados 3.849.226 endereços residenciais distintos durante o período analisado. Em um único dia, a infraestrutura chegou a disponibilizar mais de 366 mil endereços IP residenciais simultaneamente.
Esses números demonstram que a botnet não dependia apenas de uma grande quantidade de aparelhos. Ela também explorava a distribuição geográfica das conexões para oferecer serviços de proxy residencial.
Falha nos testes de certificação do Android
O episódio também expôs uma deficiência nos procedimentos de verificação de firmware utilizados pelo Google.
Fabricantes que desejam comercializar dispositivos certificados com aplicativos e serviços oficiais do Google precisam passar por testes de compatibilidade e segurança. Entretanto, segundo a investigação, a Videostrong utilizou técnicas de ofuscação para esconder o comportamento malicioso durante as avaliações.
O mecanismo permitia carregar o código comprometido depois da primeira inicialização do equipamento. Assim, o firmware apresentado durante os testes poderia não demonstrar o mesmo comportamento observado quando o produto chegava ao consumidor.
O Google reconheceu a existência dessa brecha em seus procedimentos e anunciou mudanças no processo de revisão para melhorar a verificação da integridade do firmware de dispositivos certificados com Android TV.
A resposta também incluiu medidas legais para derrubar domínios e servidores utilizados no controle da botnet e na distribuição de módulos maliciosos. A empresa rompeu os vínculos com a Videostrong e proibiu a fabricante, suas futuras subsidiárias e afiliadas de produzir dispositivos Android certificados ou fornecer software para outros fabricantes certificados.
Além disso, foram atingidos domínios de comando e controle associados a mais de uma dúzia de famílias de malware. O Google estima que a interrupção dessas estruturas poderá cortar o acesso a pelo menos 10 milhões de outros dispositivos comprometidos utilizados por operadores afiliados.
É importante entender que esse número adicional não representa outros 10 milhões de aparelhos infectados pelo XCPE. Trata-se de dispositivos associados às infraestruturas criminosas dos grupos que utilizavam módulos distribuídos por meio do backdoor.
Como proteger sua rede contra uma TV Box infectada
A descoberta levanta uma questão difícil para os consumidores: o que fazer quando o próprio firmware do aparelho está comprometido?
Nesse cenário, as soluções convencionais de remoção de malware não são suficientes. O componente x.cpe é executado como aplicativo de sistema e utiliza a chave de assinatura do fabricante. Além disso, sua cópia na partição /oem/ permite reinstalação após a reinicialização.
Por esse motivo, restaurar as configurações de fábrica não garante a remoção do backdoor. A limpeza exige uma intervenção confiável do fabricante, uma proteção da plataforma capaz de neutralizar o componente ou a substituição do equipamento.
Recomendações para usuários domésticos
Quem utiliza uma TV Box Android deve começar verificando a procedência do aparelho e a disponibilidade de atualizações oficiais.
Algumas medidas ajudam a reduzir a exposição:
- Identifique o modelo e o fabricante: confira as informações disponíveis na embalagem, nas configurações do Android e na documentação do equipamento.
- Verifique a certificação: prefira dispositivos com certificação oficial e procedência verificável. A presença de aplicativos Google, isoladamente, não comprova que um equipamento é certificado.
- Evite firmwares desconhecidos: não instale imagens de sistema encontradas em fóruns ou páginas sem procedência confiável.
- Desconecte aparelhos suspeitos: se houver motivos concretos para suspeitar de comprometimento, retire o equipamento da rede até conseguir uma avaliação adequada.
- Separe os dispositivos conectados: utilize uma rede de convidados ou uma VLAN específica para TV Boxes, câmeras, televisores e outros equipamentos IoT.
- Não confie apenas na restauração: uma redefinição de fábrica pode apagar os dados pessoais sem eliminar componentes maliciosos armazenados no firmware.
A identificação de um modelo associado à Videostrong ou à MECOOL não significa, por si só, que todos os aparelhos daquela marca estejam infectados. É necessário considerar o modelo, a versão do firmware e os indicadores técnicos identificados pelos pesquisadores.
Cuidados para empresas e ambientes de home office
Em ambientes corporativos, o problema merece atenção adicional. Uma TV Box comprometida conectada à mesma rede de computadores utilizados para trabalhar pode ampliar a superfície de ataque e expor recursos internos.
Administradores de sistemas devem manter dispositivos de entretenimento e equipamentos IoT em segmentos isolados, com regras de firewall que restrinjam conexões desnecessárias.
Também é recomendável monitorar o tráfego de saída, investigar conexões persistentes desconhecidas e evitar que equipamentos sem gerenciamento tenham acesso direto a servidores, sistemas de armazenamento e estações de trabalho.
Para profissionais em home office, uma medida importante é manter os dispositivos corporativos separados dos equipamentos domésticos não confiáveis. O acesso aos recursos da empresa deve ocorrer por dispositivos gerenciados, com autenticação forte e controles de segurança adequados.
A operação contra o XCPE representa um avanço importante no combate às botnets de dispositivos conectados. Entretanto, derrubar os servidores de comando e controle não significa remover automaticamente o malware de todos os aparelhos vendidos.
O caso demonstra que a segurança de um produto precisa ser avaliada desde sua fabricação. Certificação, atualizações e mecanismos de proteção são importantes, mas não substituem a responsabilidade dos fabricantes pela integridade do firmware entregue aos consumidores.
