Google desmantela botnet com 1,3 milhão de caixas Android TV

A Google Threat Intelligence Group (GTIG) anunciou nesta semana o desmantelamento da botnet XCPE, uma rede de mais de 1,3 milhão de dispositivos Android TV comprometidos. Ao contrário de botnets tradicionais, onde hackers exploram falhas de segurança em dispositivos legítimos, a Google atribui com alta confiança que o fabricante chinês Videostrong Technology Co. instalou uma backdoor diretamente no firmware dos aparelhos que fabricava — e a manteve funcionando como uma infraestrutura criminosa de longo prazo.

O caso é um exemplo raro e perturbador de malware pré-instalado em hardware de consumo: não se trata de um exploit explorado após a venda, mas de um componente malicioso embarcado na linha de produção, projetado para gerar receita recorrente para seus operadores mesmo depois que o dispositivo é comprado pelo consumidor.

A arquitetura do XCPE

Desde o final de 2024, a botnet XCPE evoluiu de um dropper simples para uma arquitetura modular de três estágios. O componente principal, rastreado como `x.cpe` e `com.oemservice`, executa com privilégios de sistema no Android e funciona como o comunicador de comando e controle (C2). Ele transfere a execução de módulos maliciosos para um carregador externo, `com.abc.nexus`, que por sua vez emprega utilitários sofisticados de anti-análise para evitar detecção por sandboxes de segurança.

O processo de comando e controle é particularmente refinado: primeiro, o malware faz requisições HTTP POST para buscar configurações dinâmicas, dados de geolocalização e parâmetros de servidor STUN. Em seguida, estabelece uma conexão persistente MQTT em tempo real para receber instruções — desde instalação silenciosa de aplicativos até execução de comandos shell e captura de tela, tudo sob o UID do sistema.

A evolução mais recente do malware removeu os módulos maliciosos do próprio `x.cpe` e passou a usar pacotes separados que se disfarçam como aplicativos do sistema Android — com nomes como `com.android.system.ntp` e `com.android.sso.auth.handler` — instalados diretamente no diretório `/system/priv-app/`, contornando as proteções usuais do Android.

Monetização em larga escala

A botnet XCPE não foi construída para espionagem ou ataque direto: foi projetada para lucro. Os módulos de monetização observados incluem:

- Fraude de anúncios: aplicativos maliciosos geravam cliques e impressões falsas, drenando orçamentos de anunciantes. - Proxy residencial: os dispositivos comprometidos eram integrados a redes de proxy residencial via SDK GaGaNode, pertencente ao operador IPCola. Cada dispositivo infectado se tornava um nó de rede, permitindo que criminosos mascarassem seu tráfego malicioso atrás de endereços IP residenciais legítimos. - Carregamento de malware adicional: o XCPE funcionava como plataforma para instalar outras backdoors, incluindo as variantes Moyu, Spirit e Bird, que por sua vez carregavam mais módulos maliciosos.

O mais alarmante: a Google avalia que, ao desativar os domínios de comando e controle do XCPE, a ação também cortou o acesso de pelo menos 10 milhões de outros dispositivos comprometidos por esses afiliados criminosos — o que sugere que o XCPE era um dos maiores distribuidores de malware para IoT da atualidade.

Como o malware passou pelos testes do Android

A Google exige que fabricantes passem por um conjunto abrangente de testes de compatibilidade e segurança para obter certificação Android com aplicativos Google pré-carregados. A Videostrong, no entanto, empregou técnicas de ofuscação para explorar uma lacuna nos testes da Google: o código malicioso era carregado após a primeira inicialização do dispositivo, contornando as verificações iniciais. Isso significa que os aparelhos eram certificados como "seguros" e entregues aos consumidores antes que o malware entrasse em funcionamento.

A Google já tinha tomado medidas contra botnets de hardware no passado, incluindo ações legais contra a campanha BadBox em 2024. A resposta da Videostrong à pressão regulatória parece ter sido apenas refinar a arquitetura do malware, não abandonar a prática.

Resposta e implicações

A Google cortou relações com a Videostrong, revogou sua licença para fabricar dispositivos Android TV e banirá a empresa e suas futuras filiais de produzir dispositivos Android certificados ou fornecer software para outros fabricantes certificados. A ação foi realizada em colaboração com a Agência Nacional de Polícia do Japão, Lumen, HUMAN Security, Plume, Synthient e TrendAI.

Mas a questão mais ampla permanece: o Android TV é uma plataforma aberta o suficiente para que fabricantes de baixo calibre possam inserir malware na certificação? A resposta da Google — alterar o processo de revisão para garantir a integridade do firmware após a primeira inicialização — é necessária, mas não suficiente. O caso XCPE mostra que a segurança de dispositivos IoT vai muito além de patches pós-venda: precisa ser construída desde a fábrica, nos processos de desenvolvimento e certificação.

Com 1,3 milhão de dispositivos já comprometidos e mais de 10 milhões potencialmente afetáveis pelos mesmos afiliados, o XCPE é um lembrete de que a fronteira da segurança cibernética não está apenas na nuvem ou nos servidores — está também, cada vez mais, dentro da caixa de streaming que está no seu sofá.

Fontes: Google Cloud Blog, Bleeping Computer, The Verge

✓ Fontes independentes cruzadas e verificadas antes da publicação