Google desmantela botnet Android de 1,3 milhão de dispositivos: Videostrong perde certificação
O Google entrou com ação legal para derrubar a infraestrutura de comando e controle por trás do x.cpe, um backdoor pré-instalado no firmware Android que a TrendAI contabilizou em 1.472.554 dispositivos entre 3 de junho e 1º de outubro de 2026. O número abrange 206 modelos, a maioria caixas de Android TV, e o Google o descreve como piso, não como teto. No próprio relatório, a empresa afirma que cortar os servidores dos afiliados da botnet também deve desconectar pelo menos outros 10 milhões de dispositivos comprometidos, porque os mesmos grupos criminosos distribuem malware por outros canais.
O que o backdoor fazia
O x.cpe, também rastreado como com.oemservice, roda como aplicativo de sistema com privilégios de android.uid.system. Ele vem embutido na imagem de firmware e não é instalado depois, então um reset de fábrica não o remove: o pacote é restaurado da partição /oem/ na reinicialização. Segundo a equipe de threat intelligence do Google, o implante desativa a verificação de apps do Play Protect definindo package_verifier_user_consent como -1 e então abre um canal MQTT persistente com os operadores. A análise da TrendAI, resumida no The Hacker News, descreve um desenho em duas etapas em que uma requisição HTTP de bootstrap entrega ao dispositivo o endereço do servidor de comandos.- Instalação e remoção silenciosa de aplicativos
- Execução arbitrária de comandos shell, incluindo shells reversos
- Captura de tela e injeção de teclas
- Coleta de dados de contas, listas de apps instalados e logs do sistema
- Reconhecimento da sub-rede local
- Reinstalação após reiniciar a partir da partição de firmware
Proxies residenciais eram o produto
A maioria dos módulos de monetização transformava o hardware infectado em nós de saída de proxy residencial ou vendia banda ociosa. O relatório do Google cita SDKs de proxy como Linkfog, Jaguar, AppSalt, BWM, GaGaNode, NetNut e Traffmonetizer, e observa que um único aparelho podia rodar até três deles ao mesmo tempo. Outros módulos, rastreados como Spirit, Moyu, Bird, Fission e HiddenView, geravam impressões de anúncios falsas. Uma rede de proxy residencial vale tanto quanto a diversidade e a reputação dos IPs de saída, e aparelhos domésticos oferecem exatamente isso: endereços que parecem assinantes de banda larga comuns, não faixas de data center. Quem compra essa capacidade a usa para rotear scraping, credential stuffing e fraude que de outra forma seriam bloqueados. Quando o nó de saída é uma caixa de TV na sala de alguém, o tráfego é atribuído à conexão daquela casa.Uma fabricante que infecta deliberadamente seus usuários com malware comete uma violação inaceitável de confiança e representa um risco sério para essas pessoas. - GooglePara quem trata identidade de rede como questão operacional, a lição é que um eletrodoméstico comprometido pode colocar na sua linha tráfego que você não gerou. O mesmo raciocínio vale para o hardware com que você acessa a Tor ou administra algo sensível; a lista geral está no nosso guia de segurança de dispositivos antes da Tor.
Atribuição: um documento assinado e um IP compartilhado
O Google diz estar altamente confiante de que a Videostrong Technology, de Shenzhen, desenvolveu, implantou e operou o backdoor de forma deliberada, e vendeu acesso a afiliados criminosos. As evidências incluem um documento assinado pelo diretor de P&D da Videostrong encontrado num servidor da botnet, um domínio da Videostrong que resolve para o mesmo IP do painel de controle dos operadores, uma conta no GitHub chamada yf-videostrong usada para hospedar versões e o x.cpe repassando configurações do servidor de comandos para outros apps da Videostrong, como o YokaTV Player. Charley Snyder, do Google, disse ao CyberScoop que os operadores mudavam configurações constantemente para escapar da detecção antes e depois do lançamento. A Synthient, uma das parceiras da operação, chegou à mesma conclusão de forma independente. Comprou uma unidade de varejo do MECOOL KM9PRO Max e encontrou o backdoor pré-instalado, depois publicou uma lista de 182 nomes de modelos observados na campanha, com a ressalva de que o nome do modelo sozinho não prova que uma unidade esteja infectada. A Plume, que fornece software de gestão de roteadores e dispositivos, encontrou mais de uma dúzia de tipos de aparelho conversando com o servidor de controle da botnet, a maioria da marca MECOOL.A operação e o que ela deixa para trás
A ação, conduzida com a Agência Nacional de Polícia do Japão e apoiada por Lumen, HUMAN Security, Plume, Synthient e TrendAI, derrubou domínios e servidores de controle da Videostrong, além de domínios de comando e controle de mais de uma dúzia de famílias de malware carregadas pelo backdoor. O Google também proibiu a Videostrong e futuras subsidiárias de fabricar ou vender dispositivos Android certificados ou fornecer software a outros fabricantes certificados. O The Register informa que a empresa rompeu relações com a fornecedora; a Videostrong não respondeu a pedidos de comentário. O Google diz ter reforçado a verificação de integridade de firmware em dispositivos Android TV certificados e alterado seu processo de revisão, mas o problema estrutural permanece. A certificação testa o aparelho antes do envio; o código malicioso era carregado depois da primeira inicialização, justamente a janela que esses testes não cobrem. Aparelhos já em campo mantêm o implante até o firmware ser substituído, e, na avaliação da TrendAI, a remediação exige ação do fabricante, proteção da plataforma ou troca do equipamento.Passos práticos para donos e compradores
- Trate qualquer modelo da lista publicada pela Synthient como de alto risco; isole-o das redes confiáveis ou substitua-o.
- Bloqueie no roteador ou no resolvedor DNS os domínios de bootstrap e MQTT documentados.
- Coloque TVs, caixas e eletrodomésticos inteligentes numa VLAN ou rede de convidados separada, sem rota para interfaces de administração.
- Desconfie de apps que pagam por banda ociosa ou por compartilhar sua internet; o Google aponta o cadastro silencioso e sem consentimento como o caminho mais comum para redes de proxy.
- Mantenha o Play Protect ativado e prefira aparelhos de fabricantes na lista de parceiros certificados do Android TV.