Google derruba botnet que controlava 1,3 milhão de set-top boxes Android TV
A ação cortou servidores de comando, mas o backdoor instalado pelo fabricante permanece no firmware e só sai com firmware limpo ou troca do aparelho.
O Google e parceiros da indústria derrubaram, em 2 de novembro de 2026, os servidores de comando e controlo (C2) da botnet XCPE, interrompendo o controle remoto ativo de mais de 1,3 milhão de set-top boxes Android TV e afetando o acesso usado por pelo menos mais 10 milhões de dispositivos comprometidos.
Segundo o Google, há alta confiança de que a fabricante Shenzhen Videostrong embutiu intencionalmente o backdoor chamado x.cpe no firmware dos aparelhos. A empresa e suas afiliadas foram proibidas pelo Google de fabricar ou fornecer dispositivos Android certificados.
O backdoor funciona como um aplicativo de sistema com privilégios do sistema Android, pode desativar o Google Play Protect e se reinstala automaticamente a partir de uma partição protegida /oem. Isso significa que, para remover o backdoor de forma confiável, é necessário instalar firmware fornecedor limpo ou substituir o aparelho.
Pesquisadores identificaram que a Videostrong teria monetizado o acesso vendendo controle a afiliados criminosos que executavam módulos para serviços de proxy residencial, fraudes publicitárias ocultas, roubo de dados e implantação de mais malware em caixas infectadas.
O Google endureceu as checagens de certificação e tomou medidas legais contra domínios de controle. Fornecedores de segurança recomendam isolar ou retirar caixas suspeitas da rede, bloquear domínios C2 conhecidos e tratar dispositivos de consumo não gerenciados como parte da superfície de ataque de uma organização, já que o mercado de backdoors pode migrar rapidamente para novas ferramentas.