Malware do início ao fim
A botnet XCPE operava em mais de 1,3 milhão de TV boxes Android em mais de 170 países. Diferente do padrão observado em ataques a dispositivos IoT — onde vulnerabilidades de rede ou aplicativos maliciosos instalados pelo usuário são o vetor principal — o XCPE foi embutido diretamente na partição de firmware durante a fabricação, tornando-o praticamente impossível de remover pelo usuário. O componente principal, conhecido como `x.cpe` ou `com.oemservice`, rodava com privilégios de `android.uid.system` e, se desinstalado, reinstalava-se automaticamente a partir da partição `/oem/` sempre que o dispositivo era reiniciado.
A Google Threat Intelligence Group (GTIG) atribui com alta confiança a criação e operação do backdoor à Videostrong Technology Co., fabricante chinesa de Shenzhen que atua como OEM e ODM para dispositivos Android. O que tornou o caso excepcional não foi a sofisticção técnica — embora a arquitetura modular do malware fosse notável — mas o fato de ter sido desenvolvido e implantado deliberadamente para fins financeiros, e não por falha isolada ou insider mal-intencionado. A Google afirmou explicitamente que "não acreditamos que esta campanha tenha sido um insider rogue isolado ou uma falha de desenvolvimento."
O modelo de negócio por trás do hardware comprometido
A Videostrong não operava a botnet sozinha. A empresa vendia acesso ao backdoor para afiliados criminosos, que por sua vez injetavam seus próprios módulos de malware nos dispositivos comprometidos. Esse modelo em cascata transformou cada TV box vendida ao consumidor final em um ponto de distribuição para atividades ilícitas. Os módulos observados na rede XCPE incluíam: softwares de proxy residencial (Linkfog, AppSalt, GaGaNode, NetNut, Traffmonetizer) que roteavam tráfego de terceiros através das conexões domésticas dos usuários; motores de fraude de ad impressions (CBOXTV, HiddenView) que geravam cliques e visualizações falsas em segundo plano; e backdoors adicionais (Moyu, Spirit, Bird) que permitiam a instalação de ainda mais malware sob demanda.
O sistema de comunicação era duplo: requisições HTTP iniciais para buscar configurações dinâmicas e dados de geolocalização, seguidas de conexões MQTT persistentes para receber comandos em tempo real. Através do broker MQTT, os operadores podiam baixar aplicativos silenciosamente, executar shell commands com privilégios de sistema, capturar screenshots, injetar keystrokes, coletar dados de contas e realizar reconhecimento de rede. Um detalhe técnico interessante é que o malware empregava `libseccomp_guard.so`, uma utility sofisticada de anti-análise que impedia que os módulos maliciosos fossem detectados por sandboxes automáticas.
O escalo da infração
Um dos aspectos mais surpreendentes do caso foi a estimativa da Google: o desmonte dos domínios de C2 dos afiliados cortaria acesso a pelo menos 10 milhões de dispositivos adicionais comprometidos por malware distribuído por outras rotas. Isso significa que o XCPE funcionou como uma plataforma de distribuição — uma espécie de "malware-as-a-service" para dispositivos IoT. O Google também desmontou os servidores usados por mais de uma dúzia de famílias de malware que usavam o backdoor XCPE como canal secundário de comando e controle.
A Google adotou medidas concretas contra a Videostrong: baniu a empresa e suas subsidiárias futuras de fabricar dispositivos Android certificados e de fornecer software a fornecedores certificados. A empresa também admitiu que a Videostrong explorou uma lacuna nos testes de segurança do Android, carregando o código malicioso após o primeiro boot do dispositivo, contornando assim as verificações de compatibilidade. A Google afirma que já implementou mudanças no processo de revisão para evitar que falhas semelhantes escapem no futuro.
Parceiros da operação incluíram a Agência Nacional de Polícia do Japão, Lumen, HUMAN Security, Plume, Synthient e TrendAI. A Synthient, em particular, realizou o rastreamento forense que ligou o backdoor à Videostrong, descobrindo um diretório publicamente acessível no servidor `file.anyevonline[.]com` que continha os backdoors e até um PDF assinado por Owen Cao, diretor de P&D da Videostrong.
O que isso significa para o ecossistema Android
O caso XCPE se insere no mesmo ecossistema do BadBox 2.0, outra botnet de TV boxes desmantelada em março de 2025 pela Human, Google e TrendAI. Ambos os casos compartilham características: dispositivos IoT com conectividade permanente, atualizações raras ou inexistentes, e consumidores geralmente ignorantes sobre o que roda em seus aparelhos. A diferença é que o XCPE não se limitou a infectar — foi fabricado como tal, do início ao fim, como parte integrante do produto.
A Google publicou uma lista com 182 modelos de dispositivos conhecidos por fazerem parte da botnet. Proprietários de TV boxes MECOOL ou de marcas white-label compradas de fabricantes desconhecidos devem consultar essa lista. Mesmo assim, há uma limitação importante: embora o malware esteja inativo agora, ele continua instalado como app do sistema e não pode ser facilmente removido pelos usuários comuns, especialmente porque o Play Protect continua desabilitado nos dispositivos comprometidos.
A pergunta que fica não é se a próxima botnet de TV boxes vai surgir — é apenas uma questão de quando — mas se o modelo de certificação de dispositivos Android, projetado para garantir compatibilidade e segurança, está realmente preparado para detectar fabricantes que embarcam o malware durante a manufatura em vez de explorá-lo depois. O XCPE não violou o Android: ele foi feito para rodar nele, dentro dele, antes de o usuário tocar no interruptor pela primeira vez.
Fontes: Google Threat Intelligence Group, BleepingComputer, CyberScoop
✓ Fontes independentes cruzadas e verificadas antes da publicação
