Uma botnet com mais de 1,3 milhão de dispositivos Android, em sua maioria aparelhos decodificadores de TV, foi desativada no fim de outubro em uma operação liderada pelo Google.
A empresa afirma ter alto grau de confiança de que a fabricante Videostrong instalou intencionalmente uma backdoor nos aparelhos e vendeu acesso a criminosos.
Os criminosos usaram os dispositivos para cometer fraude publicitária e encaminhar o tráfego de internet de outras pessoas pelas conexões domésticas dos proprietários. A backdoor continua nos aparelhos, e os usuários não conseguem removê-la por conta própria.
Com sede em Shenzhen, na China, a Videostrong fabrica aparelhos de TV com Android e outros dispositivos, tanto com sua própria marca quanto para outras empresas. A backdoor, chamada x.cpe, foi incorporada a diversos modelos e marcas ao longo de vários anos. O Google não acredita que a instalação tenha sido resultado de um funcionário mal-intencionado ou de um erro.
Por meio de uma medida judicial, o Google desativou os domínios e servidores que controlavam a botnet. Também derrubou os domínios de controle de mais de uma dúzia de famílias de malware instaladas por meio da backdoor. A Japan National Police Agency, a Lumen, a HUMAN Security, a Plume, a Synthient e a TrendAI colaboraram com o Google na operação.
Como os criminosos por trás desses malwares também os distribuíam por outros meios, o Google espera que a operação impeça o acesso deles a pelo menos outros 10 milhões de dispositivos infectados. A empresa alerta que os operadores de backdoors e os criminosos que compram seus serviços costumam migrar rapidamente para novas ferramentas quando parte de sua estrutura é interrompida.
O Google rompeu relações com a Videostrong. A empresa proibiu a fabricante, assim como futuras subsidiárias ou afiliadas, de desenvolver ou vender dispositivos Android certificados e de fornecer programas a outros fabricantes de dispositivos certificados.
O que a backdoor fazia
Segundo a análise do Google, a x.cpe é executada como um aplicativo do sistema dentro do firmware e tem acesso no nível do sistema. Ela se comunica com os servidores de command and control (C2) da botnet e aguarda instruções. Para instalar programas sem que o usuário perceba, primeiro desativa as verificações de aplicativos do Google Play Protect, recurso de segurança integrado ao Android.
Por meio da backdoor, os operadores da botnet podiam instalar aplicativos sem o conhecimento do proprietário, executar comandos, capturar a tela e mapear a rede à qual o aparelho estava conectado.
O Google afirma ter observado operadores da Videostrong usando alguns desses recursos. Eles capturaram telas em tempo real, registraram as teclas digitadas, copiaram dados de contas, informações dos dispositivos, listas de aplicativos e registros do sistema, além de abrir acessos reversos com linha de comando remota.
A maioria dos módulos usados pelos criminosos, ou seja, programas adicionais instalados pela backdoor, transformava os aparelhos em proxies residenciais ou revendia sua largura de banda ociosa. Um serviço de proxy residencial vende acesso a uma conexão doméstica de internet, fazendo com que o tráfego do cliente pareça vir de uma residência comum. Outros módulos falsificavam visualizações de anúncios on-line.
A maioria dos dispositivos infectados são aparelhos decodificadores de TV com Android, mas a backdoor também foi encontrada em equipamentos de telemedicina, máquinas de karaokê e painéis digitais.
A TrendAI, unidade de negócios corporativos da Trend Micro, contabilizou 1.472.554 dispositivos infectados, distribuídos por 206 modelos, entre 3 de junho e 1º de outubro. A empresa afirma que o número real é de pelo menos essa magnitude. Malásia, Brasil, Iraque, México e Taiwan concentraram o maior número de dispositivos. Estados Unidos, Alemanha, Reino Unido, Austrália e Canadá tiveram, cada um, entre cerca de 26 mil e 42 mil aparelhos.
O que os proprietários podem fazer
A Synthient, que monitora redes de proxy e botnets, publicou uma lista com 182 nomes de modelos identificados na campanha. A empresa alerta que o nome do modelo, por si só, não confirma que um aparelho esteja infectado.
O relatório da Synthient se concentra em aparelhos da marca MECOOL, que a empresa relaciona à Videostrong. A Synthient comprou um MECOOL KM9PRO Max e encontrou a backdoor pré-instalada. A Plume, que desenvolve soluções de Wi-Fi para provedores de internet, identificou mais de uma dúzia de dispositivos diferentes usando o servidor de controle da botnet, a maioria da marca MECOOL.
Como a x.cpe faz parte do firmware, removê-la não resolve o problema de forma permanente. Ela é reinstalada quando o aparelho reinicia. A TrendAI afirma que a backdoor é executada como um aplicativo do sistema, assinado com a chave da fabricante. Por isso, a correção exige “uma ação da fabricante, proteção da plataforma ou a substituição do dispositivo”.
A Plume recomenda restaurar completamente o aparelho às configurações de fábrica, pois os módulos podem ter instalado outras backdoors. No entanto, a empresa não esclarece se a restauração remove a própria x.cpe. A Synthient recomenda que os consumidores descartem os aparelhos, devido ao alto risco de malware.
Para organizações, a Synthient recomenda as seguintes medidas:
- Usar os indicadores publicados pela empresa para localizar dispositivos MECOOL ou semelhantes na rede.
- Desconectar e descartar qualquer aparelho identificado.
- Bloquear os domínios de controle e endereços IP listados no relatório.
- Manter outros dispositivos inteligentes em segmentos de rede separados e afastados dos sistemas sensíveis.
A TrendAI aconselha empresas com funcionários remotos a considerar dispositivos de consumo não gerenciados nas redes domésticas como parte de sua superfície de ataque e a restringir o acesso corporativo a dispositivos gerenciados.
Como a Videostrong foi identificada
Segundo o relato do Google, a x.cpe repassa configurações de servidores C2 para outros aplicativos da Videostrong, entre eles o YokaTV Player, um aplicativo de transmissão de vídeo. Uma das contas do GitHub que hospedava os pacotes da botnet se chama yf-videostrong.
A Synthient, que colaborou com o Google, também concluiu, com alto grau de confiança, que a Videostrong opera a campanha. A empresa aponta como evidências um documento assinado pelo diretor de pesquisa e desenvolvimento da Videostrong, encontrado em uma pasta aberta em um dos servidores da botnet, e um domínio da fabricante que compartilha um endereço IP com o painel de controle dos operadores.
A Plume constatou que a Videostrong fornece tanto o firmware desses dispositivos quanto ferramentas para gerenciá-los remotamente.
Uma lacuna nos testes de dispositivos do Google
O Google exige que as fabricantes submetam seus dispositivos a uma série de testes de compatibilidade e segurança. A empresa afirma que a Videostrong ocultou seu código para contornar uma lacuna nesses testes e instalou o código malicioso depois da primeira inicialização do aparelho.
O Google alterou seu processo de análise e está aprimorando as verificações do firmware de dispositivos Android TV certificados.
Em 2 de novembro, o próprio site da Videostrong listava produtos descritos como “Google Certified Android TV Box” e “Google Certified Android TV Stick”.
A Plume afirma que a botnet incluía tanto dispositivos certificados pelo Google quanto aparelhos com a versão do Android Open Source Project (AOSP). O relatório do Google não informa quantos dispositivos certificados foram afetados.
Quando o Google processou os responsáveis pela botnet BadBox 2.0, em julho de 2025, os mais de 10 milhões de dispositivos envolvidos não tinham certificação.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...