Google desmantela botnet XCPE que infecta 1.3M dispositivos Android TV
- A Google interrompeu o XCPE, uma botnet envolvendo mais de 1,3 milhão de caixas Android TV infectadas com malware pré-instalado.
- A derrubada bloqueou o acesso remoto dos criminosos, mas a porta dos fundos permanece embutida no firmware dos dispositivos afetados.
- Nenhum recall específico do XCPE ou atualização de firmware limpo foi identificado publicamente, deixando os proprietários à procura de soluções ou substituições junto aos vendedores.
A Google e seus parceiros interromperam o XCPE, uma botnet que envolvia mais de 1,3 milhão de caixas receptoras (set-top boxes) Android TV, anunciou a empresa em 2 de novembro. A ação removeu o acesso remoto dos criminosos às caixas. No entanto, o software malicioso permanece oculto no firmware.
Para quem comprou as caixas, a preocupação é o que acontecerá agora. Uma revisão das descobertas de Google, TrendAI e Synthient, bem como da página de garantia da MECOOL em 3 de novembro, não mostrou indícios de recall de produtos relacionados ao XCPE, atualização de firmware limpo ou esquema de substituição em massa que tenha sido implementado. A revisão incluiu apenas documentos que foram tornados públicos, sem entrar nas respostas de vendedores específicos.
Como o agente pré-instalado enviava dados para os servidores
O malware vinha junto com o dispositivo. A Google descobriu que o x.cpe, conhecido como com.oemservice em alguns dispositivos, era pré-instalado no firmware com acesso ao nível do sistema. Mesmo se removido, ele reinstala automaticamente a partir da partição /oem/ após uma reinicialização.
Assim que o dispositivo era ligado e estabelecia conexão com a internet, o agente pré-instalado começava a se comunicar com seus controladores e enviar comandos para o com.abc.nexus ou carregadores (loaders) mais recentes.
Os criminosos podiam usar as mensagens MQTT para instalar aplicativos sem permissão, executar comandos e gravar a tela. De acordo com a TrendAI, o aplicativo do sistema é assinado digitalmente com a chave do fabricante, o que complicava a capacidade dos proprietários de removê-lo.
Contra quem a Google aponta a culpa
A Google afirma estar altamente confiante de que a Videostrong construiu e operou deliberadamente uma porta dos fundos para obter lucro. O fabricante supostamente disfarçou o código malicioso para contornar as verificações de certificação do Android.
Em resposta, a Google proibiu a Videostrong e suas futuras afiliadas de fabricar dispositivos Android certificados ou fornecer software a fornecedores certificados. A empresa também reforçou suas verificações de firmware. A Agência Nacional de Polícia do Japão e várias empresas de segurança colaboraram com a Google na operação.
Seguindo o dinheiro até a banda larga residencial
O esquema explorou conexões de internet residencial para gerar receita. As caixas de TV infectadas funcionavam como proxies residenciais, concedendo acesso a terceiros sem o conhecimento dos proprietários das caixas infectadas. Além disso, os atacantes implementaram programas de fraude publicitária. De 3 de junho a 1º de outubro de 2026, a TrendAI monitorou 3,85 milhões de endereços IP de saída residencial únicos.
As conexões com redes domésticas são úteis para criminosos, pois suas atividades parecem legítimas. De acordo com o FBI, isso é resultado do uso de proxies residenciais que fazem os criminosos parecerem consumidores comuns. Os anunciantes enfrentam perigos semelhantes. A DoubleVerify detectou 140% mais esquemas e variações de fraude em TV conectada no primeiro trimestre de 2026 do que um ano antes. No entanto, nem todas essas fraudes se enquadram na categoria do XCPE.
Quais caixas e o que os proprietários podem fazer
A Synthient analisou um MECOOL KM9PRO Max e listou strings de modelo, incluindo KM9PRO_MAX, KM7PLUS e KD3. Um nome correspondente por si só não prova infecção.
A garantia da MECOOL oferece devoluções em 30 dias e cobertura de um ano para problemas de qualidade, mas não há solução específica para XCPE. Proprietários preocupados devem desconectar as caixas suspeitas e solicitar aos vendedores uma correção documentada ou substituição.
Por que um C2 morto não é o fim
A Google também mirou domínios de controle de afiliados, estimando que isso poderia isolar pelo menos mais 10 milhões de dispositivos comprometidos. Esses estão separados dos 1,3 milhão do XCPE.
O risco de um retorno é real. Uma botnet anterior, diferente, baseada em Android TV cresceu de 74.000 dispositivos em 2023 para mais de 10 milhões até 2025, conforme reportado pela Cryptopolitan.
O mercado ainda é muito maior. A Grand View Research projeta US$ 318,6 bilhões em receita global de TV conectada para 2026. A Pixalate estima que a participação da Roku na atividade publicitária programática global de CTV seja de 36%. Nenhuma dessas figuras mede as perdas do XCPE.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Perguntas Frequentes
O que é a botnet XCPE?
A XCPE é uma porta dos fundos pré-instalada no firmware de mais de 1,3 milhão de dispositivos Android, principalmente em decodificadores de TV e projetores, que os inscreveu em uma botnet usada para fraude publicitária, tráfego de proxy residencial e carregamento de outros malwares, segundo o Google.
Posso remover o malware com uma restauração de fábrica?
Não de forma confiável. A TrendAI afirma que a instalação funciona como um aplicativo do sistema assinado com a chave do fabricante, portanto, sua remoção exige que o fornecedor implemente uma correção em nível de plataforma ou que se adquira um novo dispositivo. O FBI alerta que alguns malwares instalados de fábrica podem persistir mesmo após uma restauração de fábrica.
Quem o Google diz ser o responsável?
O Google afirma ter alta confiança de que a Videostrong Technology Co. construiu e monetizou intencionalmente a porta dos fundos, tendo banido permanentemente a empresa e suas futuras afiliadas de fabricar dispositivos Android certificados ou fornecer software a fornecedores certificados.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Micah Abiodun
Micah Abiodun faz bom uso de sua especialização em Engenharia e Gestão Ambiental (MSc) na Universidade de Tecnologia de Tallinn (TalTech) para refinar notícias sobre previsão de preços e conteúdo no Cryptopolitan. Agora em seu 7º ano no espaço de mídia cripto, ele cobre principais criptomoedas, altcoins, DeFi, stablecoins, tendências macroeconômicas e tecnologias emergentes.
