Google anunciou a desativação de uma botnet composta por mais de 1,3 milhão de dispositivos Android, principalmente set-top boxes, que continha uma backdoor chamada x.cpe. A operação, realizada no final de outubro de 2026, foi atribuída com alta confiança à Videostrong Technology, fabricante de muitos dos dispositivos afetados, que teria vendido acesso a criminosos para explorar esses equipamentos, conforme reportado pelo Help Net Security e The Hacker News.
A backdoor x.cpe foi incorporada ao firmware de diversos modelos de set-top boxes Android ao longo de vários anos. Os criminosos utilizavam esses dispositivos para realizar fraudes publicitárias e redirecionar o tráfego de internet de outros usuários através das conexões residenciais dos proprietários. A Google estima que a ação de desmantelamento pode afetar pelo menos 10 milhões de dispositivos adicionais que foram comprometidos por meio de outras rotas e famílias de malware.
O malware opera com privilégios de sistema, o que significa que sua remoção não é simples. Mesmo que o usuário tente desinstalá-lo, o x.cpe se reinstala a partir de uma partição protegida após reinicializações. Além disso, ele desativa o Google Play Protect, que é a funcionalidade de segurança nativa do Android, e apaga os registros de consentimento do usuário, dificultando ainda mais a remoção do malware.
As investigações indicam que a Videostrong não agiu por erro ou por um insider desonesto, mas sim como parte de um modelo de negócios que envolvia a venda de acesso a criminosos. Os operadores da botnet poderiam executar comandos remotamente, capturar telas e até mesmo registrar teclas digitadas nos dispositivos infectados, conforme detalhado pela Google e corroborado por Help Net Security.
Além da Videostrong, a operação de desmantelamento contou com a colaboração de várias organizações, incluindo a Agência Nacional de Polícia do Japão, Lumen, HUMAN Security, Plume, Synthient e TrendAI. Juntas, essas entidades trabalharam para derrubar os domínios de comando e controle da botnet, assim como a infraestrutura de mais de uma dúzia de famílias de malware que foram carregadas através da backdoor.
Os dados coletados indicam que a maioria dos dispositivos infectados está concentrada em países como Malásia, Brasil, Iraque, México e Taiwan. Nos Estados Unidos, Alemanha, Reino Unido, Austrália e Canadá, cada um possui entre 26 mil e 42 mil dispositivos afetados. O TrendAI, por sua vez, identificou 1.472.554 dispositivos infectados entre 3 de junho e 1 de outubro de 2026, abrangendo 206 modelos diferentes.
Os proprietários de dispositivos afetados enfrentam dificuldades para remover a backdoor, uma vez que ela está embutida no firmware e se reinstala automaticamente. A recomendação para a limpeza do malware envolve ações por parte do fabricante, proteção da plataforma ou até mesmo a substituição do dispositivo. A situação levanta preocupações sobre a segurança e privacidade dos usuários, uma vez que os operadores de botnets frequentemente mudam suas táticas quando uma parte de sua infraestrutura é desmantelada.
O próximo passo será observar como a Videostrong e outros fabricantes de dispositivos responderão a essas alegações e se haverá um esforço mais amplo para proteger os consumidores contra a inserção de malwares em dispositivos de IoT e set-top boxes no futuro.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews