1.3M Android TV boxes expostos após Google desmantelar botnet XCPE

A Google e seus parceiros interromperam o XCPE, uma botnet que envolvia mais de 1,3 milhão de caixas receptoras (set-top boxes) Android TV, anunciou a empresa em 2 de novembro. A ação removeu o acesso remoto dos criminosos às caixas. No entanto, o software malicioso permanece oculto no firmware.

Para quem comprou as caixas, a preocupação é o que acontecerá agora. Uma revisão das descobertas de Google, TrendAI e Synthient, bem como da página de garantia da MECOOL em 3 de novembro, não mostrou indícios de recall de produtos relacionados ao XCPE, atualização de firmware limpo ou esquema de substituição em massa que tenha sido implementado. A revisão incluiu apenas documentos que foram tornados públicos, sem entrar nas respostas de vendedores específicos.

Como o agente pré-instalado enviava dados para os servidores

O malware vinha junto com o dispositivo. A Google descobriu que o x.cpe, conhecido como com.oemservice em alguns dispositivos, era pré-instalado no firmware com acesso ao nível do sistema. Mesmo se removido, ele reinstala automaticamente a partir da partição /oem/ após uma reinicialização.

Assim que o dispositivo era ligado e estabelecia conexão com a internet, o agente pré-instalado começava a se comunicar com seus controladores e enviar comandos para o com.abc.nexus ou carregadores (loaders) mais recentes.

Os criminosos podiam usar as mensagens MQTT para instalar aplicativos sem permissão, executar comandos e gravar a tela. De acordo com a TrendAI, o aplicativo do sistema é assinado digitalmente com a chave do fabricante, o que complicava a capacidade dos proprietários de removê-lo.

Contra quem a Google aponta a culpa

A Google afirma estar altamente confiante de que a Videostrong construiu e operou deliberadamente uma porta dos fundos para obter lucro. O fabricante supostamente disfarçou o código malicioso para contornar as verificações de certificação do Android.

Em resposta, a Google proibiu a Videostrong e suas futuras afiliadas de fabricar dispositivos Android certificados ou fornecer software a fornecedores certificados. A empresa também reforçou suas verificações de firmware. A Agência Nacional de Polícia do Japão e várias empresas de segurança colaboraram com a Google na operação.

Seguindo o dinheiro até a banda larga residencial

O esquema explorou conexões de internet residencial para gerar receita. As caixas de TV infectadas funcionavam como proxies residenciais, concedendo acesso a terceiros sem o conhecimento dos proprietários das caixas infectadas. Além disso, os atacantes implementaram programas de fraude publicitária. De 3 de junho a 1º de outubro de 2026, a TrendAI monitorou 3,85 milhões de endereços IP de saída residencial únicos.

As conexões com redes domésticas são úteis para criminosos, pois suas atividades parecem legítimas. De acordo com o FBI, isso é resultado do uso de proxies residenciais que fazem os criminosos parecerem consumidores comuns. Os anunciantes enfrentam perigos semelhantes. A DoubleVerify detectou 140% mais esquemas e variações de fraude em TV conectada no primeiro trimestre de 2026 do que um ano antes. No entanto, nem todas essas fraudes se enquadram na categoria do XCPE.

Quais caixas e o que os proprietários podem fazer

A Synthient analisou um MECOOL KM9PRO Max e listou strings de modelo, incluindo KM9PRO_MAX, KM7PLUS e KD3. Um nome correspondente por si só não prova infecção.

A garantia da MECOOL oferece devoluções em 30 dias e cobertura de um ano para problemas de qualidade, mas não há solução específica para XCPE. Proprietários preocupados devem desconectar as caixas suspeitas e solicitar aos vendedores uma correção documentada ou substituição.

Por que um C2 morto não é o fim

A Google também mirou domínios de controle de afiliados, estimando que isso poderia isolar pelo menos mais 10 milhões de dispositivos comprometidos. Esses estão separados dos 1,3 milhão do XCPE.

O risco de um retorno é real. Uma botnet anterior, diferente, baseada em Android TV cresceu de 74.000 dispositivos em 2023 para mais de 10 milhões até 2025, conforme reportado pela Cryptopolitan.

O mercado ainda é muito maior. A Grand View Research projeta US$ 318,6 bilhões em receita global de TV conectada para 2026. A Pixalate estima que a participação da Roku na atividade publicitária programática global de CTV seja de 36%. Nenhuma dessas figuras mede as perdas do XCPE.

Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.