Google derruba rede de vírus de fábrica em 1,3 milhão de TV Boxes Android; Brasil está no top 5

O Google anunciou nesta segunda-feira (2) que derrubou, junto com a polícia do Japão e cinco empresas de segurança, o XCPE, um backdoor (vírus que abre acesso remoto ao aparelho) instalado de fábrica pela chinesa Videostrong que transformou mais de 1,3 milhão de TV Boxes Android em um botnet. O Brasil está entre os cinco países com mais aparelhos infectados.

O caso foge do padrão porque, segundo o Google, a infecção não veio de um app baixado pelo usuário: a própria fabricante gravou o código no firmware. Quem tem uma dessas caixas cedeu, sem saber, a internet de casa para fraude de anúncios e tráfego de terceiros. E o implante não sai com uma desinstalação.

Videostrong vendia o acesso às próprias caixas para afiliados

No relatório publicado pelo Google, a empresa diz avaliar "com alta confiança" que o backdoor e o botnet foram desenvolvidos, implantados e operados de propósito, com fins lucrativos, pela Videostrong Technology Co., que monta aparelhos Android para outras marcas. O negócio era alugar as caixas: a empresa vendia o acesso a "afiliados" criminosos e instalava nelas os módulos de malware desses parceiros.

"Acreditamos que essa campanha não foi obra de um funcionário isolado nem um descuido de desenvolvimento", escreveu o Google. "Um fabricante infectar de propósito seus usuários com malware é uma quebra de confiança inaceitável e representa um risco sério para esses usuários."

As pistas são concretas: os pacotes maliciosos ficavam numa conta do GitHub chamada yf-videostrong, o player YokaTV, da própria fabricante, recebia configurações do servidor de comando, e o domínio videostrong.cn apontava para o mesmo IP do painel dos operadores.

O Google foi à Justiça para derrubar os servidores do botnet e os de mais de uma dúzia de famílias de malware que rodavam como módulos, baniu a Videostrong e quaisquer subsidiárias futuras de fabricar aparelhos Android certificados ou fornecer software a quem fabrica, e mudou a verificação de integridade do firmware das Android TV certificadas. Participaram da operação a Polícia Nacional do Japão, Lumen, HUMAN Security, Plume, Synthient e TrendAI.

Como o vírus x.cpe funciona: reinstala sozinho e desliga o Play Protect

O núcleo do esquema é um pacote chamado x.cpe (em algumas versões, com.oemservice), gravado na partição de sistema com privilégio android.uid.system. Se o dono desinstala, ele volta no próximo boot, reinstalado a partir da partição /oem/.

Depois de buscar a configuração por HTTP, a caixa abre uma conexão MQTT permanente com os operadores. Por ela, os operadores conseguiam instalar apps em silêncio, executar comandos de shell, capturar a tela de forma contínua, injetar toques de teclado e mapear a rede da casa. Entre os comandos disponíveis estava desligar a verificação do Google Play Protect. O Google diz ter visto os operadores tirando screenshots ao vivo, extraindo dados de conta e abrindo shells reversos nas caixas.

O código mudou para fugir da detecção: no fim de 2024 ganhou um carregador separado (com.abc.nexus) e, desde agosto de 2026, instaladores disfarçados de apps do sistema, como com.android.system.ntp, que tentam obter root via ADB.

Os módulos alugados faziam três tipos de serviço: proxy residencial, que revende o IP da casa (Linkfog, AppSalt/Honeygain, NetNut e outros), fraude de anúncios (CBOXTV, HiddenView) e backdoors extras que baixam ainda mais malware (Moyu, Spirit).

Brasil no top 5 entre 1,47 milhão de aparelhos em 170 países

A TrendAI, que mediu o botnet de 3 de junho a 1º de outubro de 2026, contou 1.472.554 aparelhos infectados de 206 modelos, em mais de 170 países. Malásia, Brasil, Iraque, México e Taiwan lideram. Estados Unidos, Alemanha, Reino Unido, Austrália e Canadá têm entre 26 mil e 42 mil cada; o número exato do Brasil não foi informado. A Synthient, que estima cerca de 500 mil caixas ativas por dia, também cita Malásia, México e Brasil como os mercados de maior presença.

No período, cerca de 1,33 milhão de aparelhos receberam módulos de proxy ou fraude e mais de 3,8 milhões de IPs residenciais e móveis passaram pela rede. Não são só TV Boxes: projetores, aparelhos de telessaúde, máquinas de karaokê e painéis de sinalização digital também estavam na lista.

Os 10 milhões que aparecem em algumas manchetes são outro grupo. O Google estima que a derrubada dos servidores dos afiliados vai cortar o acesso a pelo menos 10 milhões de aparelhos adicionais, porque esses grupos distribuíam seus módulos por outros canais além do XCPE. A empresa não divulgou modelos nem países desse grupo.

A marca que mais aparece é a MECOOL. A Synthient comprou uma MECOOL KM9PRO Max no fim de 2025 e encontrou o com.oemservice pré-instalado; a Plume achou mais de uma dúzia de aparelhos falando com o servidor de controle, a maioria MECOOL. A Synthient atribui a marca à Videostrong, mas nenhuma fonte traz resposta da MECOOL. Um asterisco: a pesquisa foi feita com a Motion Picture Association, que combate a pirataria e tem interesse em desacreditar esse tipo de aparelho.

TV Box certificada pelo Google também foi infectada

Em julho de 2025, o Google processou os operadores do BadBox 2.0, botnet de mais de 10 milhões de aparelhos, todos sem certificação. Desta vez, o problema chegou a caixas vendidas com o selo. Segundo a Plume, o XCPE incluía aparelhos certificados pelo Google e aparelhos com Android aberto (AOSP), embora o relatório não diga quantos de cada. Até esta segunda, a Videostrong ainda anunciava no próprio site produtos como "Google Certified Android TV Box", segundo o The Hacker News.

O Google admite a brecha: "A Videostrong empregou técnicas de ofuscação para explorar uma lacuna em nossos testes e carregar código malicioso após o primeiro boot do aparelho". A caixa passava limpa nos testes e só depois recebia o código. O Google diz ter mudado a revisão, sem detalhar como.

TV Box com vírus: o que fazer, já que o backdoor continua na caixa

Derrubar os servidores corta o controle dos operadores, mas não limpa nada. O x.cpe segue gravado no firmware das caixas já vendidas, e até agora não há atualização oficial para removê-lo. A Plume recomenda restaurar o aparelho de fábrica, sem dizer se isso apaga o implante. A TrendAI afirma que a limpeza exige "ação do fabricante, proteção da plataforma ou a troca do aparelho". A Synthient pede que os modelos saiam do varejo e sejam descartados, e publicou no GitHub uma lista de 182 modelos vistos na campanha, com o aviso de que o nome sozinho não confirma infecção.

Para quem tem TV Box Android de marca pouco conhecida, as empresas envolvidas recomendam:

• conferir se a fabricante consta na lista oficial de parceiros certificados do Android;
• verificar se o Google Play Protect continua ativo, já que desligá-lo é justamente uma das ações do backdoor;
• checar se o IP da casa aparece sendo usado como proxy, como sugere a Synthient;
• comprar aparelhos conectados só de "fabricantes de boa reputação", nas palavras do Google.

Nenhuma das fontes cita TV Boxes vendidas por operadoras ou por marcas grandes no Brasil. O que ainda falta saber é quantas das caixas infectadas estão aqui e se a Videostrong, banida pelo Google, vai responder às acusações. Nenhuma das fontes traz resposta da fabricante.