Operação internacional desmantela estrutura utilizada para espionagem, fraudes publicitárias e exploração clandestina de conexões domésticas. Malware instalado pela própria fabricante permitia controlar equipamentos remotamente, capturar informações e transformar a internet dos usuários em ferramenta para atividades criminosas.
Uma operação internacional coordenada pelo Google desarticulou uma das maiores redes de dispositivos Android comprometidos já identificadas. A estrutura criminosa, conhecida como XCPE, utilizava mais de 1,3 milhão de aparelhos, principalmente TV boxes, infectados com software malicioso instalado ainda durante o processo de fabricação.
O Brasil aparece como o segundo país com maior concentração de dispositivos comprometidos, atrás apenas da Malásia. Segundo levantamento da empresa de segurança TrendAI, foram identificados aproximadamente 150 mil aparelhos infectados em território brasileiro, em um universo global de cerca de 1,47 milhão de dispositivos observados.
As infecções foram detectadas em mais de 170 países, demonstrando o alcance internacional da operação.
A investigação revelou um aspecto particularmente preocupante: os equipamentos não eram necessariamente infectados após a compra, por meio de downloads suspeitos ou aplicativos piratas. Em muitos casos, o código malicioso já fazia parte do próprio sistema operacional disponibilizado ao consumidor.
Segundo o Google Threat Intelligence Group (GTIG), existem evidências de alta confiança de que a fabricante chinesa Videostrong Technology, sediada em Shenzhen, desenvolveu e distribuiu intencionalmente o componente malicioso para obter receitas com a exploração clandestina dos dispositivos.
A empresa teria comercializado o acesso aos aparelhos infectados para operadores de diferentes atividades criminosas, permitindo que terceiros utilizassem os equipamentos e suas conexões com a internet sem conhecimento ou autorização dos proprietários.
A operação de desarticulação contou com a participação da Agência Nacional de Polícia do Japão e de empresas especializadas, incluindo Lumen, HUMAN Security, Plume, Synthient e TrendAI.
Uma rede criminosa instalada dentro da televisão
O funcionamento da botnet XCPE dependia de um mecanismo conhecido como backdoor, ou porta de acesso clandestina, incorporado ao firmware dos equipamentos.
O firmware é o software responsável por controlar as funções fundamentais do dispositivo. Quando um código malicioso é incorporado a essa camada, ele pode receber privilégios elevados e permanecer ativo mesmo sem a instalação voluntária de aplicativos pelo usuário.
No caso da XCPE, a investigação identificou que o componente principal operava com permissões de sistema do Android, permitindo estabelecer comunicação com servidores externos, receber instruções e instalar novos módulos de software.
Essa arquitetura transformava os dispositivos em integrantes de uma botnet, expressão utilizada para designar uma rede de equipamentos controlados remotamente por operadores não autorizados.
Para o proprietário, a TV box poderia continuar funcionando aparentemente de maneira normal, reproduzindo vídeos e executando aplicativos. Paralelamente, processos ocultos realizavam atividades que não tinham qualquer relação com a finalidade do equipamento.
Como funcionava tecnicamente o malware XCPE
O relatório técnico publicado pelo Google em 2 de novembro de 2026 descreve uma arquitetura modular desenvolvida para manter o controle dos equipamentos e permitir diferentes formas de exploração financeira.
O componente principal, identificado como x.cpe ou com.oemservice em determinadas versões, era incorporado às partições do firmware e executado com o nível de privilégio android.uid.system.
A partir desse componente, a estrutura maliciosa executava três etapas principais.
1. Inicialização e persistência
Ao ligar o equipamento, o componente malicioso verificava sua instalação e ativava os mecanismos necessários para manter a comunicação com a infraestrutura externa.
Parte do código permanecia armazenada na partição /oem/, permitindo a reinstalação automática de componentes removidos quando o aparelho fosse reiniciado.
Essa característica dificulta a limpeza convencional e torna insuficiente, em muitos casos, a simples exclusão de aplicativos ou restauração das configurações de fábrica.
2. Comunicação com servidores de comando e controle
Depois da inicialização, o malware estabelecia contato com servidores de comando e controle, conhecidos pela sigla C2 (Command and Control).
Inicialmente, eram realizadas requisições HTTP para obter informações de configuração, identificação do dispositivo e parâmetros de comunicação.
Em seguida, o equipamento estabelecia conexões persistentes utilizando o protocolo MQTT, normalmente empregado em sistemas de Internet das Coisas (IoT).
Por meio dessa comunicação, os operadores conseguiam distribuir instruções e executar ações remotamente.
Entre as capacidades identificadas estavam instalação silenciosa de aplicativos, execução de comandos no sistema, captura de telas, reconhecimento da rede local e coleta de informações armazenadas no equipamento.
3. Instalação de módulos para exploração financeira
O sistema permitia carregar componentes adicionais, incluindo o pacote com.abc.nexus, responsável por executar módulos destinados a diferentes atividades.
Esses módulos eram utilizados para transformar os equipamentos em pontos de saída de redes de proxy residencial, simular atividades publicitárias e instalar outros programas maliciosos.
A separação entre o componente de controle e os módulos operacionais também dificultava a detecção, pois permitia modificar as atividades criminosas sem necessariamente alterar toda a estrutura do malware.
A conexão residencial dos usuários era comercializada clandestinamente
Uma das modalidades mais preocupantes de exploração identificadas na investigação foi a utilização dos equipamentos como proxies residenciais.
Nesse modelo, o dispositivo comprometido passa a encaminhar tráfego de terceiros utilizando a conexão de internet contratada pelo proprietário.
Na prática, uma pessoa pode estar assistindo televisão enquanto seu equipamento, silenciosamente, permite que agentes externos utilizem seu endereço IP público para acessar sites e serviços na internet.
Isso pode facilitar tentativas de fraude, coleta automatizada de informações, evasão de bloqueios geográficos e outras atividades que buscam aparentar origem em uma conexão residencial legítima.
O risco não está apenas no consumo indevido de banda. Dependendo da atividade realizada, registros de acesso mantidos por provedores e plataformas podem associar inicialmente o tráfego malicioso ao endereço IP utilizado pela vítima.
A identificação de um endereço IP em registros de atividade ilícita, portanto, não comprova isoladamente que o assinante da conexão tenha praticado a conduta.
O caso evidencia a importância de considerar a possibilidade de dispositivos comprometidos durante investigações envolvendo tráfego originado em redes residenciais, especialmente quando existem indícios de utilização clandestina de proxies.
Malware permitia capturar telas, executar comandos e coletar informações
As capacidades técnicas da XCPE ultrapassavam a exploração da conexão de internet.
Segundo o Google, os operadores tinham recursos para executar comandos arbitrários no sistema, instalar aplicativos sem interação do usuário, obter informações sobre a rede e capturar imagens da tela.
A investigação também identificou operações de coleta de informações de contas, dados sobre o dispositivo, relação de aplicativos instalados e registros do sistema.
Entre os mecanismos observados estava a possibilidade de desativar verificações de segurança do Google Play Protect, reduzindo as barreiras à instalação de outros componentes maliciosos.
Essas funcionalidades criavam condições para monitoramento indevido e exfiltração de informações, embora a existência dessas capacidades não signifique que todos os aparelhos tenham sido utilizados para todas as modalidades de ataque.
O comprometimento de um dispositivo com privilégios elevados também representa um risco indireto para outros equipamentos conectados à mesma rede, como computadores, celulares e dispositivos domésticos inteligentes.
A extensão efetiva desse risco depende das características da rede, das permissões disponíveis e das vulnerabilidades existentes nos demais sistemas.
Fraudes publicitárias geravam receitas com aparelhos que os consumidores já haviam comprado
Outra fonte de monetização era a fraude publicitária.
Os módulos maliciosos podiam produzir interações artificiais com anúncios digitais, criando a aparência de visualizações ou atividades legítimas.
Essas operações permitiam gerar receitas fraudulentas a partir de campanhas publicitárias, prejudicando anunciantes e plataformas que remuneram a exibição ou interação com anúncios.
Diferentemente de fraudes que exigem a participação ativa da vítima, a estrutura operava em segundo plano, aproveitando a capacidade de processamento e a conectividade dos equipamentos.
Assim, a mesma TV box poderia ser empregada em diferentes atividades de monetização clandestina, conforme os módulos instalados pelos operadores.
Fabricante teria utilizado técnicas para enganar os testes de segurança do Google
Uma das principais descobertas da investigação foi a maneira como a fabricante teria conseguido distribuir dispositivos comprometidos apesar dos mecanismos de certificação do ecossistema Android.
Segundo o Google, a Videostrong utilizou técnicas de ofuscação para ocultar componentes maliciosos durante as verificações de compatibilidade e segurança.
Parte do código era ativada ou instalada somente após a primeira inicialização, quando o aparelho já estava em funcionamento.
Isso permitia que determinados componentes escapassem das análises realizadas antes da comercialização.
O Google afirmou que o comportamento identificado não correspondia a uma falha isolada de desenvolvimento ou à atuação de um funcionário sem autorização.
Em consequência, a empresa rompeu suas relações com a Videostrong e proibiu a fabricante, suas futuras subsidiárias e afiliadas de produzir dispositivos Android certificados com aplicativos do Google pré-instalados ou fornecer software a fabricantes certificados.
A companhia também anunciou mudanças nos procedimentos de verificação da integridade do firmware para reduzir a possibilidade de ataques semelhantes.
Derrubada da botnet pode afetar mais de 10 milhões de outros dispositivos
A desarticulação da XCPE envolveu medidas técnicas e judiciais destinadas a interromper a infraestrutura utilizada pelos operadores.
Entre as providências adotadas estiveram ações contra domínios e servidores responsáveis pelo comando dos equipamentos e pela distribuição de módulos adicionais.
O Google informou que também atuou contra infraestruturas de comando e controle associadas a mais de uma dezena de famílias de malware utilizadas por operadores vinculados à rede.
Segundo a avaliação da empresa, essas medidas poderão interromper o acesso criminoso a pelo menos 10 milhões de outros dispositivos comprometidos, além daqueles diretamente identificados na botnet XCPE.
Esse número não significa que outros 10 milhões de equipamentos tenham sido infectados especificamente pelo XCPE. Trata-se de uma estimativa relacionada ao alcance adicional das infraestruturas criminosas afetadas pela operação.
A interrupção da comunicação com servidores de controle reduz significativamente a capacidade de operação dos criminosos, mas não significa necessariamente que todo o software malicioso tenha sido eliminado dos equipamentos.
Dispositivos com componentes persistentes no firmware podem continuar exigindo substituição ou atualização confiável para eliminar o comprometimento.
Anatel já havia alertado sobre TV boxes transformadas em ferramentas para crimes digitais
No Brasil, a Agência Nacional de Telecomunicações (Anatel) vem alertando para os riscos associados a aparelhos de TV box não homologados.
Em estudos de engenharia reversa, a agência identificou equipamentos comercializados com programas maliciosos capazes de permitir acesso não autorizado, captura de informações e controle remoto.
Em agosto de 2025, a Anatel divulgou um alerta específico sobre o malware BadBox 2.0, identificado em equipamentos Android de baixo custo e associado a atividades de fraude e exploração clandestina de dispositivos.
Embora o BadBox 2.0 e a XCPE apresentem características semelhantes, seus números de infecção e suas operações não devem ser tratados como se fossem um único incidente.
Mais recentemente, em 3 de novembro de 2026, a Anatel participou da divulgação de uma nova campanha de conscientização do movimento #FiqueEsperto, dedicada aos riscos de TV boxes piratas.
A orientação destaca que equipamentos com software modificado podem comprometer a privacidade dos usuários e representar uma ameaça para outros dispositivos conectados à mesma rede.
Como identificar e reduzir os riscos de uma TV box comprometida
O principal problema dos aparelhos infectados em nível de firmware é que o comprometimento pode não apresentar sintomas perceptíveis.
O dispositivo pode continuar reproduzindo conteúdo normalmente enquanto executa operações maliciosas em segundo plano.
Por esse motivo, a ausência de lentidão, anúncios suspeitos ou falhas aparentes não comprova que o equipamento esteja seguro.
A orientação preventiva envolve verificar a procedência do dispositivo, confirmar sua homologação perante a Anatel e consultar a certificação e o suporte oferecido pelo fabricante.
Também é importante verificar a existência de atualizações oficiais de segurança e desconfiar de equipamentos que prometem acesso gratuito e ilimitado a serviços normalmente pagos.
Quando houver suspeita fundamentada de comprometimento, a medida mais segura é desconectar o equipamento da rede até que seja possível verificar sua integridade.
Em aparelhos com malware persistente incorporado ao firmware, uma restauração convencional pode não ser suficiente para eliminar a ameaça.
Nessas circunstâncias, a substituição por um modelo de procedência confiável pode ser necessária.
Caso revela uma ameaça que começa antes mesmo da compra
A operação contra a XCPE expõe uma modalidade particularmente grave de comprometimento da cadeia de fornecimento de dispositivos eletrônicos.
Em vez de depender exclusivamente de mensagens fraudulentas, sites maliciosos ou descuidos dos usuários, o atacante pode introduzir mecanismos de acesso clandestino ainda durante a fabricação ou preparação do produto.
O consumidor recebe um equipamento aparentemente legítimo, conecta-o à rede doméstica e passa a integrar, sem perceber, uma infraestrutura utilizada por terceiros.
A descoberta de mais de um milhão de equipamentos comprometidos demonstra que o problema não se restringe à pirataria audiovisual ou à comercialização irregular de TV boxes.
Trata-se de uma ameaça à segurança digital dos usuários, à integridade das redes domésticas e à confiança nos processos de fabricação e certificação de produtos conectados.
O desmantelamento da XCPE representa um avanço no combate às redes criminosas de dispositivos comprometidos, mas deixa um alerta: equipamentos conectados à internet podem oferecer riscos mesmo quando o usuário nunca instalou um aplicativo suspeito.
No Brasil, onde aproximadamente 150 mil dispositivos foram identificados nessa operação, o episódio reforça a necessidade de fiscalização, transparência dos fabricantes e maior atenção à segurança dos equipamentos que entram nas residências.
