O Google e vários parceiros do setor interromperam a botnet de malware XCPE, que, segundo a empresa, foi incorporada a mais de 1,3 milhão de dispositivos de streaming Android TV durante a fabricação. O Google atribui a operação, com alto grau de confiança, à fabricante chinesa de dispositivos Videostrong Technology Co., alegando que a empresa instalou uma porta dos fundos persistente e vendeu acesso a afiliados criminosos em busca de ganhos financeiros.
Os dispositivos comprometidos foram usados para vários tipos de cibercrime. Afiliados implantaram módulos para fraude publicitária, converteram os dispositivos em proxies residenciais e instalaram malware adicional. O Google também derrubou servidores de comando e controle usados por mais de uma dúzia de famílias de malware relacionadas, cortando o acesso a pelo menos 10 milhões de outros dispositivos comprometidos. Esses dispositivos incluíam decodificadores vendidos no varejo, máquinas de karaokê e equipamentos de telessaúde, e nem todos eram produtos Android.
O Google encerrou seu relacionamento com a Videostrong, revogou a autorização da empresa para fabricar dispositivos Android TV com aplicativos e serviços do Google pré-carregados e proibiu a empresa e futuros afiliados de produzir dispositivos Android certificados ou fornecer software a fornecedores certificados.
O malware XCPE diferia das botnets que normalmente infectam dispositivos por meio de vulnerabilidades de software ou downloads enganosos. Segundo o Google, ele era incorporado diretamente ao firmware dos dispositivos e distribuído em várias marcas e modelos ao longo de vários anos. Seus componentes principais, identificados como x.cpe e com.oemservice, operavam com privilégios no nível do sistema Android e usavam um design modular que separava os recursos da porta dos fundos das ferramentas geradoras de receita.
Depois que um dispositivo infectado era inicializado, o malware se conectava à infraestrutura no domínio anyevonline[.]com para obter detalhes de conexão e credenciais de um broker MQTT hospedado em mqtt.szbboys[.]com. Os operadores podiam então emitir comandos remotamente e instalar aplicativos adicionais, desativar o Google Play Protect, executar comandos de shell, capturar screenshots, registrar teclas pressionadas e coletar informações de contas, dispositivos, aplicativos e do sistema. O malware também podia realizar reconhecimento de rede e estabelecer shells reversos.
O Google afirmou que a plataforma era compatível com módulos vinculados a serviços de proxy residencial, incluindo Linkfog, AppSalt/Honeygain, GaGaNode, NetNut e Traffmonetizer. Esses serviços roteavam tráfego de terceiros por meio de dispositivos infectados sem o conhecimento ou consentimento dos proprietários. Outros módulos geravam atividade publicitária fraudulenta, instalavam portas dos fundos adicionais e baixavam mais malware.
Os operadores alteravam repetidamente o malware para dificultar sua detecção. No fim de 2024, introduziram um carregador separado chamado com.abc.nexus, enquanto, desde agosto de 2026, começaram a substituí-lo por droppers menores disfarçados de aplicativos do sistema Android.
A empresa de cibersegurança Synthient vinculou o malware e sua infraestrutura à Videostrong depois de encontrar a porta dos fundos pré-instalada em um dispositivo Android TV MECOOL KM9PRO Max comprado no fim de 2025. Os pesquisadores também identificaram um diretório publicamente acessível contendo portas dos fundos e um PDF associado a Owen Cao, diretor de P&D da Videostrong. Eles descobriram que o domínio da Videostrong apontava para o mesmo endereço IP que um servidor de comando e controle do XCPE e que endereços de e-mail da empresa haviam sido usados para assinar as portas dos fundos.
O Google afirmou que as evidências apontavam para uma instalação deliberada pelo fabricante, e não para um funcionário interno isolado ou um erro acidental de desenvolvimento. A empresa também alterou seu processo de revisão de certificação depois de determinar que a Videostrong usava ofuscação para escapar dos testes e carregar código malicioso depois que os dispositivos concluíam sua inicialização inicial.
Embora a interrupção tenha afetado a infraestrutura da botnet, o Google afirmou que o malware permanece nos dispositivos infectados. Se for removido, ele pode se reinstalar a partir da partição /oem/. Os usuários precisariam instalar um firmware limpo para remover a infecção ou desconectar os dispositivos afetados da internet para impedir novas atividades maliciosas.
A operação envolveu a Agência Nacional de Polícia do Japão e as empresas de segurança Lumen, HUMAN Security, Plume, Synthient e TrendAI.
Fontes: BleepingComputer.