Uma botnet (rede de dispositivos infectados controlada remotamente) com mais de 1,3 milhão de dispositivos Android, em sua maioria decodificadores de TV, perdeu o controle de seus servidores no fim de outubro, em uma operação de desarticulação liderada pelo Google.
O Google afirma ter alta confiança de que a fabricante de dispositivos Videostrong colocou intencionalmente uma backdoor (porta dos fundos, ou acesso oculto) nos aparelhos e vendeu acesso a criminosos.
Os criminosos usavam os aparelhos para fraudes publicitárias e para repassar o tráfego de internet de terceiros pelas conexões domésticas dos donos. A backdoor continua nos aparelhos, e os proprietários não conseguem removê-la por conta própria.
A Videostrong, sediada em Shenzhen, na China, fabrica TV boxes com sistema Android e outros dispositivos sob marca própria e para outras marcas. A backdoor, chamada x.cpe, foi incorporada a muitos modelos e marcas ao longo de vários anos. O Google não acredita que um funcionário mal-intencionado ou um erro tenha sido o responsável.
O Google recorreu a medidas judiciais para derrubar os domínios e servidores que controlavam a botnet. A empresa também derrubou os domínios de controle de mais de uma dezena de famílias de malware (software malicioso) carregadas pela backdoor. A Agência Nacional de Polícia do Japão, a Lumen, a HUMAN Security, a Plume, a Synthient e a TrendAI trabalharam com o Google na operação.
Como os criminosos por trás desse software malicioso também o espalham por outros meios, o Google espera que a ação corte o acesso deles a pelo menos 10 milhões de dispositivos infectados adicionais. A empresa alerta que os operadores de backdoors e os criminosos que compram delas trocam rapidamente de ferramentas quando uma parte de sua estrutura é desarticulada.
O Google rompeu relações com a Videostrong. A empresa foi banida, assim como qualquer subsidiária ou afiliada futura, de desenvolver ou vender dispositivos Android certificados e de fornecer software para outros fabricantes certificados.
O que a backdoor fazia
A backdoor x.cpe funciona como um aplicativo de sistema dentro do firmware (software embarcado do aparelho), com acesso em nível de sistema, segundo a análise do Google. Ela se comunica com os servidores de comando e controle (C2) da botnet e aguarda ordens. Para instalar programas silenciosamente, ela primeiro desativa as verificações de aplicativos do Google Play Protect, recurso de segurança nativo do Android.
Por meio da backdoor, os operadores da botnet podiam instalar aplicativos sem que o dono soubesse, executar comandos, capturar a tela e mapear a rede em que o aparelho está conectado.
O Google afirma ter visto os operadores da Videostrong usarem parte desses recursos. Eles fizeram capturas de tela em tempo real, enviaram pressionamentos de teclas, copiaram detalhes de contas, informações do dispositivo, listas de aplicativos e registros do sistema, além de abrir shells reversos, que dão uma linha de comando remota ao aparelho.
A maioria dos módulos dos criminosos, programas complementares carregados pela backdoor, transformou os aparelhos em proxies residenciais ou vendeu a banda ociosa deles. Um serviço de proxy residencial vende acesso à conexão de internet de uma residência, de modo que o tráfego de um cliente parece vir de uma família comum. Outros módulos simulavam visualizações de anúncios online.
A maioria dos dispositivos infectados são decodificadores de TV com Android, mas a backdoor também apareceu em aparelhos de telessaúde, máquinas de karaokê e painéis digitais de sinalização.
A TrendAI, unidade de negócios empresariais da Trend Micro, contabilizou 1.472.554 dispositivos infectados em 206 modelos entre 3 de junho e 1º de outubro, e afirma que o número real é pelo menos esse. Malásia, Brasil, Iraque, México e Taiwan tiveram o maior número de casos. Estados Unidos, Alemanha, Reino Unido, Austrália e Canadá tiveram, cada um, entre cerca de 26 mil e 42 mil.
O que os donos podem fazer
A Synthient, que monitora redes de proxy e botnets, publicou uma lista de 182 nomes de modelos de dispositivos identificados na campanha. A lista alerta que o nome de um modelo, por si só, não confirma que o aparelho está infectado.
O relatório da Synthient se concentra em decodificadores da marca MECOOL, que a empresa associa à Videostrong. A Synthient comprou um MECOOL KM9PRO Max e encontrou a backdoor pré-instalada. A Plume, que desenvolve softwares de Wi-Fi para provedores de internet, encontrou mais de uma dezena de dispositivos diferentes usando o servidor de controle da botnet, a maioria da marca MECOOL.
Como o x.cpe faz parte do firmware, remover o programa não resolve. Ele se reinstala quando o aparelho é reiniciado. A TrendAI afirma que a backdoor roda como um aplicativo de sistema assinado com a chave do fabricante, por isso a limpeza exige "ação do fornecedor, proteção da plataforma ou substituição do dispositivo".
A Plume recomenda uma restauração completa de fábrica, porque os módulos podem ter instalado outras backdoors, mas não diz se a restauração remove o próprio x.cpe. A Synthient vai além e orienta os consumidores a descartar os aparelhos de vez, pois eles representam alto risco de malware.
Para organizações, a Synthient recomenda estas medidas:
- Usar os indicadores publicados pela empresa para localizar dispositivos MECOOL ou semelhantes na rede.
- Desconectar e descartar qualquer um que for encontrado.
- Bloquear os domínios de controle e os endereços IP (identificadores de rede) listados no relatório.
- Manter outros dispositivos inteligentes em segmentos de rede separados, longe de sistemas sensíveis.
A TrendAI aconselha empresas com funcionários remotos a tratar dispositivos de consumo não gerenciados em redes domésticas como parte de sua superfície de ataque e a manter o acesso corporativo restrito a dispositivos gerenciados.
Como a Videostrong foi identificada
Segundo o relato do Google, o x.cpe repassa configurações do servidor C2 para outros aplicativos da Videostrong, incluindo o aplicativo de streaming YokaTV Player. Uma das contas do GitHub que hospedavam os pacotes da botnet se chama yf-videostrong.
A Synthient, que trabalhou com o Google, também concluiu com alta confiança que a Videostrong comanda a operação. A empresa aponta um documento assinado pelo diretor de pesquisa e desenvolvimento da Videostrong em uma pasta aberta em um dos servidores da botnet, e um domínio web da Videostrong que compartilha um endereço IP com o painel de controle dos operadores.
A Plume descobriu que a Videostrong fornece tanto o firmware desses dispositivos quanto as ferramentas para gerenciá-los remotamente.
Uma falha nos testes de dispositivos do Google
O Google exige que os fabricantes passem por um conjunto de testes de compatibilidade e segurança. Segundo a empresa, a Videostrong ocultou seu código para contornar uma falha nesses testes e carregou o código malicioso após a primeira inicialização do aparelho.
O Google mudou seu processo de análise e está aprimorando suas verificações do firmware em dispositivos Android TV certificados.
Até 2 de novembro, o site da Videostrong listava produtos que a empresa chama de "Google Certified Android TV Box" e "Google Certified Android TV Stick".
A Plume afirma que a botnet incluía tanto dispositivos certificados pelo Google quanto aparelhos que rodam a versão do Projeto de Código Aberto do Android (AOSP). O relatório do Google não informa quantos dispositivos certificados foram afetados.
Quando o Google processou a botnet BadBox 2.0, em julho de 2025, os mais de 10 milhões de dispositivos envolvidos não eram certificados.
