Botnet TV box: polícia e gigantes de tecnologia derrubam rede de 1,3 milhão de aparelhos adulterados

Uma operação internacional liderada pelo Google e pela Agência Nacional de Polícia do Japão desmantelou a infraestrutura global da botnet mantida pelo malware XCPE em 1,3 milhão de TV boxes. A ação atingiu equipamentos distribuídos em mais de 200 países, com forte presença no mercado brasileiro, neutralizando um esquema de fraude digital montado diretamente na linha de produção pela fabricante chinesa Videostrong.

A ofensiva cibernética desativou servidores centrais e interrompeu o acesso a outros 10 milhões de dispositivos que recebiam comandos maliciosos pelo mesmo sistema clandestino. Empresas de segurança como Lumen, Human Security, Plume, Synthient e TrendAI participaram da força-tarefa que identificou a infiltração de programas espiões em aparelhos residenciais antes da venda ao consumidor final. Golpe no firmware adulterava conexões residenciais.

O código malicioso era gravado no firmware de conversores de televisão, projetores e aparelhos de karaokê durante a montagem na fábrica, permitindo que os dispositivos chegassem ao mercado com portas de acesso abertas. Assim que o aparelho se conectava à rede mundial de computadores, o sistema estabelecia comunicação imediata com servidores remotos e transformava a conexão doméstica da residência em um canal de proxy residencial clandestino. Com essa manobra, grupos criminosos alugavam o tráfego dos aparelhos residenciais para cometer fraudes publicitárias e ocultar atividades ilícitas por trás de números de protocolo de internet de famílias comuns.

Os operadores da rede também mantinham acesso contínuo aos comandos internos do equipamento para realizar alterações de software à distância. O grupo tinha capacidade técnica para instalar e desinstalar aplicativos sem autorização, realizar capturas de tela em tempo real e recolher credenciais de acesso e dados sigilosos do sistema operacional.

Medidas técnicas adotadas na operação global

• Alvo: servidores de comando e controle do malware XCPE e redes associadas
• Aparelhos diretos desativados: 1,3 milhão de TV boxes Android
• Impacto indireto: interrupção do controle sobre mais de 10 milhões de dispositivos
• Fabricante responsabilizada: empresa chinesa Videostrong
• Órgãos participantes: Agência Nacional de Polícia do Japão e seis empresas globais de segurança digital

Bloqueio permanente e punição comercial à fabricante

O Google cancelou os contratos de parceria comercial com a Videostrong e baniu a companhia de qualquer certificação oficial de aparelhos Android. A punição impede a fabricante e futuras subsidiárias de lançarem produtos com a loja de aplicativos oficial da plataforma ou de fornecerem sistemas operacionais para outras marcas parceiras no mercado internacional.

A análise técnica constatou que a empresa desenvolveu rotinas avançadas de ocultação para burlar as checagens prévias de segurança e carregar a carga maliciosa apenas na primeira inicialização feita pelo comprador.

Resistência do código e histórico de ações no Brasil

A desativação dos servidores corta a comunicação externa da rede, mas o malware permanece gravado na partição de inicialização do aparelho. Caso o usuário execute uma restauração para os padrões de fábrica, a rotina maliciosa é reiniciada junto com o sistema operacional, exigindo a substituição física do equipamento não homologado para eliminar totalmente os riscos de segurança na residência.

A contaminação em massa pelo XCPE compartilha a base técnica da família de ameaças BadBox 2.0, que no ano anterior concentrou mais de um terço de todas as suas infecções em endereços brasileiros. Como resposta institucional à entrada massiva de conversores não homologados no país, a Agência Nacional de Telecomunicações realizou 110 ações integradas de combate à pirataria em 2025, resultando na derrubada de 28.190 números de protocolo de internet e 5.420 endereços eletrônicos utilizados por esquemas semelhantes. A autarquia exige requisitos obrigatórios de cibersegurança em equipamentos certificados desde 2023.