Google e polícia japonesa desarticulam rede que infectou 1,3 milhão de TV boxes no mundo

Uma operação conjunta entre o Google e a polícia japonesa desarticulou a infraestrutura de uma rede criminosa que infectou mais de 1,3 milhão de TV boxes em mais de 200 países, incluindo o Brasil. A rede, identificada como XCPE, transformava aparelhos de streaming em ferramentas para a prática de fraudes e transmissão de dados sem o conhecimento dos proprietários.

Diferente de ataques convencionais, a infecção não ocorria por links suspeitos ou downloads de aplicativos. A investigação conduzida pelo Google Threat Intelligence Group revelou que o mecanismo malicioso já vinha integrado ao firmware — o software básico de funcionamento — diretamente da fábrica. A responsabilidade pela criação e operação da estrutura foi atribuída à fabricante chinesa Videostrong Technology, que utilizava a rede para obter ganhos financeiros.

Funcionamento e Impacto da Botnet

A Videostrong produz equipamentos Android para diversas marcas, o que espalhou o programa em modelos variados ao longo de anos. O sistema operava de forma discreta: ao ser conectado à internet, o aparelho comunicava-se com servidores externos para receber instruções, permitindo que criminosos instalassem novos componentes maliciosos e alterassem configurações remotamente.

A rede funcionava como uma botnet, transformando as conexões domésticas dos usuários em proxies residenciais. Isso permitia que terceiros mascarassem a origem de atividades fraudulentas, fazendo com que o tráfego parecesse vir do endereço IP da residência da vítima. Além disso, a infraestrutura era utilizada para:

• Fraudes publicitárias: simulação de interações e visualizações de anúncios para gerar pagamentos indevidos.
• Espionagem: captura de imagens da tela e coleta de dados de contas.
• Instalação de malwares: inserção de programas adicionais em segundo plano.

Para garantir a permanência no sistema, o código era armazenado em áreas protegidas, permitindo a reinstalação automática mesmo após reinicializações ou tentativas de remoção. O programa também era capaz de desativar o Google Play Protect.

Medidas de Combate e Sanções

A operação de derrubada, divulgada em 2 de novembro de 2026, contou com o apoio de empresas de segurança digital como Lumen, HUMAN Security, Plume, Synthient e TrendAI. O Google aplicou medidas legais para remover domínios e servidores ligados à Videostrong, encerrando qualquer relação comercial com a fabricante. A empresa chinesa agora está proibida de produzir dispositivos certificados com aplicativos do Google ou fornecer software para outros parceiros certificados.

A desativação desses servidores deve impactar indiretamente outros 10 milhões de dispositivos comprometidos por grupos criminosos que utilizavam a mesma infraestrutura, independentemente de estarem infectados especificamente pela XCPE.

Riscos no Brasil e Prevenção

No Brasil, a ameaça é relevante não apenas para produtos piratas, já que a XCPE atingiu inclusive aparelhos certificados pelo ecossistema Android. O caso difere de alertas anteriores, como o do malware BadBox 2.0 reportado pela Anatel em agosto de 2025, embora ambos explorem conexões domésticas.

Como o código malicioso reside no firmware, a restauração de fábrica pode não ser eficaz para eliminar a ameaça. A Anatel recomenda a utilização de equipamentos homologados, a manutenção de sistemas atualizados e a ativação do Google Play Protect. Em casos de suspeita, a orientação é desconectar o aparelho da rede e, caso não haja atualização oficial de correção, substituir o dispositivo.