Google e parceiros derrubam o botnet XCPE, com backdoor em 1,3 milhão de set-top boxes

Segundo o Google Threat Intelligence Group, o XCPE não foi um malware plantado por terceiros na cadeia de suprimentos. A avaliação, com alta confiança, é que a Videostrong Technology Co., fabricante Android OEM e ODM, desenvolveu, implantou e operou o backdoor com fins financeiros. Mais de 1,3 milhão de set-top boxes entraram no botnet. A empresa vendia acesso a afiliados criminosos, que carregavam módulos próprios para fraude de anúncios, proxy residencial e instalação de outros malwares.

Tecnicamente, o stub x.cpe (às vezes com o nome com.oemservice) vem pré-instalado na partição de firmware e roda com privilégio android.uid.system. Se o usuário o desinstala, ele se reinstala a partir da partição /oem/ no reboot. O backdoor desativa o Google Play Protect alterando a configuração package_verifier_user_consent para -1, o que permite instalar apps sem consentimento. O comando e controle tem dois estágios: uma requisição HTTP POST busca configurações e, depois, uma conexão MQTT persistente recebe ordens como instalação silenciosa, shell arbitrário, captura de tela e reconhecimento de rede. Os operadores também exfiltraram dados de conta e logs e abriram reverse shells. Um loader externo, o com.abc.nexus, executa os módulos, e a fonte cita Linkfog, AppSalt e NetNut entre os de proxy residencial.

A Videostrong explorou uma lacuna nos testes de compatibilidade e segurança do Google, carregando código malicioso após o primeiro boot com técnicas de ofuscação. O Google mudou seu processo de revisão, baniu a empresa e futuras subsidiárias da fabricação de dispositivos Android certificados, entrou com ações judiciais contra domínios C2 e reforçou a verificação de integridade do firmware em Android TV certificados. A derrubada dos C2 dos afiliados deve cortar o acesso a pelo menos 10 milhões de dispositivos adicionais. Participaram a Polícia Nacional do Japão, Lumen, HUMAN Security, Plume, Synthient e TrendAI.

O caso se conecta a uma série de derrubadas de proxy residencial e botnets em aparelhos de TV. Em 5 de julho de 2026, o CEVIU noticiou "Google desmantela rede de proxy residencial que infectava mais de 2 milhões de aparelhos", sobre a NetNut, ligada às botnets Mirai e Badbox 2.0. A NetNut aparece agora na lista de módulos de proxy residencial carregados pelo XCPE, segundo a fonte. Em 11 de julho de 2026, a matéria "Google e FBI desmantelam botnet NetNut de dois milhões de dispositivos" tratou da mesma ação.

Em 4 de agosto de 2026, o CEVIU publicou "Operação Fuyao: Império de Fraude de Anúncios com IA e Malware em Android TVs é Desvendado", sobre outra botnet pré-instalada via firmware em caixas Android TV. A diferença no caso atual é a atribuição: o Google aponta o próprio fabricante como operador, e não apenas a infraestrutura de proxy ou fraude.

Para quem opera segurança corporativa, o caso mostra que a certificação do fabricante não garante a integridade do firmware. Isso vale para TV boxes e dispositivos de mídia em redes de escritório, hotelaria e ambientes de visitantes. Uma leitura prática: tratar esses aparelhos como não confiáveis, isolá-los em segmento próprio e monitorar tráfego anômalo, como conexões MQTT e saída para domínios de proxy. Como o backdoor se reinstala a partir do firmware, remover o app não resolve.