Uma operação liderada pela Google desmantelou a infraestrutura de controlo do XCPE, uma botnet que juntou mais de 1,3 milhões de dispositivos Android, quase todos boxes de TV. Desta vez, os criminosos não entraram nos equipamentos através de uma falha nem enganaram os utilizadores para instalarem alguma coisa. Segundo a Google, a porta das traseiras veio de fábrica. “We assess with high confidence that the backdoor and botnet were intentionally developed, deployed, and operated for financial gain by Videostrong Technology Co.,” Google’s Threat Intelligence Group (GTIG) said. A Videostrong é um fabricante de Shenzhen ligado à marca MECOOL. Os servidores já foram desligados, mas o código malicioso continua dentro das boxes vendidas.
Resposta rápida: A Google atribui à Videostrong a instalação deliberada da backdoor XCPE no firmware de mais de 1,3 milhões de boxes Android TV e outros equipamentos. O acesso a esses dispositivos foi vendido a criminosos, que os usaram para fraude publicitária, como proxies residenciais e para instalar mais malware. Desligar os servidores não limpa os equipamentos, porque a backdoor volta a instalar-se quando o dispositivo reinicia. Se tem uma box MECOOL ou YOKATV, ou outra box Android barata de origem incerta, isole-a da rede ou substitua-a.
Um modelo de negócio, não uma intrusão
O relatório técnico foi publicado pelo Google Threat Intelligence Group (GTIG) a 2 de novembro de 2026. Segundo o documento, a Videostrong ganhava dinheiro com a backdoor ao vender acesso a afiliados criminosos e ao instalar os módulos desses afiliados nos dispositivos infetados. Os módulos secundários were conducting ad-fraud; silently enrolling infected devices into residential proxy networks; and loading additional malware onto XCPE-compromised devices.
A investigação contou com vários parceiros: Google worked closely with Japan’s National Police Agency, Lumen, HUMAN Security, Plume, Synthient, and TrendAI to analyse this malware ecosystem and disrupt its operations. A Google recorreu a meios judiciais para retirar do ar os domínios e servidores de comando e controlo (C2). Atingiu também os domínios C2 de mais de uma dúzia de famílias de malware distribuídas como módulos através da backdoor. Os afiliados usavam outros canais de distribuição além do XCPE, por isso a empresa estima que taking down their C2 domains will sever access to at least 10 million additional compromised devices. Este número é separado dos 1,3 milhões de dispositivos infetados pelo próprio XCPE.
Quanto ao fabricante, a Google has cut ties with Videostrong and banned them from making devices with preloaded Google apps. A proibição abrange também futuras subsidiárias e afiliadas da empresa. A Google afirma ainda ter reforçado o processo de certificação. Até à publicação deste artigo, não encontrámos qualquer resposta pública da Videostrong às acusações. A atribuição é uma avaliação técnica da Google e dos parceiros, não uma decisão judicial.
Como funciona a backdoor XCPE
O componente principal aparece com os nomes de pacote x.cpe e com.oemservice, consoante a versão do firmware, e corre com privilégios de sistema Android. Se o utilizador o desinstalar, volta a instalar-se a partir da partição /oem/ quando o equipamento reinicia. A backdoor consegue ainda desativar a verificação de aplicações do Google Play Protect: altera a definição global package_verifier_user_consent para -1 e passa a instalar software sem pedir autorização.
O comando e controlo funciona em duas fases. Na primeira, o dispositivo pede a configuração por HTTP. Depois, mantém uma ligação persistente por MQTT, o protocolo através do qual recebe ordens para descarregar novos módulos. Segundo a análise da TrendAI, a unidade empresarial da Trend Micro, o agente apresentava-se como um cliente normal de gestão remota e usava ofuscação para escapar aos testes de segurança feitos antes do lançamento. A Google confirma esta tática: o código malicioso só era carregado depois do primeiro arranque, o que lhe permitia passar nos testes de compatibilidade e certificação.
Além das boxes de TV, a Google encontrou a backdoor noutros equipamentos Android: telehealth devices, karaoke machines, and digital signage devices. A TrendAI refere também projetores.
Indicadores de comprometimento
Não existe CVE nem pontuação CVSS associada, porque não se trata de uma vulnerabilidade, mas sim de código malicioso instalado de propósito. Os indicadores abaixo foram divulgados pelo GTIG e pelos parceiros:
| Tipo | Indicador | Observação |
|---|---|---|
| Pacote Android | x.cpe | Componente principal da backdoor |
| Pacote Android | com.oemservice | Nome alternativo em algumas versões |
| Pacote Android | com.abc.nexus | Loader de módulos usado desde finais de 2024 |
| Propriedade de sistema | ro.mecool.device | Verificada pelo código para identificar boxes MECOOL |
| Definição alterada | package_verifier_user_consent = -1 | Desativa a verificação do Play Protect |
| Persistência | Partição /oem/ | Reinstala o componente após reiniciar |
| Rede | Ligações MQTT persistentes | Canal de comando para descarregar módulos |
| Infraestrutura | Conta GitHub yf-videostrong | Alojava pacotes da botnet, segundo a Google |
Cronologia
| Data | Acontecimento |
|---|---|
| Vários anos | A backdoor é incluída em vários modelos e marcas de equipamentos |
| Finais de 2024 | Começa a ser usado o loader separado com.abc.nexus para executar os módulos |
| Finais de 2025 | A Synthient compra uma MECOOL KM9PRO Max e encontra a backdoor já instalada |
| 3 jun. a 1 out. 2026 | A TrendAI conta 1 472 554 dispositivos infetados em 206 modelos |
| Agosto de 2026 | O loader é substituído por droppers mais pequenos, disfarçados de aplicações de sistema |
| Finais de outubro de 2026 | A infraestrutura de controlo é desmantelada |
| 2 nov. 2026 | O GTIG e os parceiros divulgam publicamente a operação |
Segundo o comunicado conjunto dos parceiros, a botnet estava presente em more than 1.3 million set-top boxes across more than 200 countries. A Plume, empresa de software Wi-Fi para operadores, identificou mais de uma dúzia de modelos a comunicar com o servidor de controlo, a maioria da marca MECOOL. Os dados da Synthient indicam maior concentração na Malásia, no México e no Brasil, com vítimas também nos EUA, na China e na Alemanha. Não foram divulgados números específicos sobre Portugal.
O que fazer se tiver uma destas boxes
Desligar os servidores travou a operação, mas não limpou os dispositivos. Segundo a TrendAI, a backdoor corre como aplicação de sistema assinada com a chave do fabricante. A limpeza exige por isso intervenção do fabricante, proteção ao nível da plataforma ou a substituição do aparelho. Recomendações práticas:
- Identifique o equipamento: veja a marca e o modelo na etiqueta inferior da box. Desconfie em especial de equipamentos MECOOL e YOKATV, e de boxes Android baratas de marca desconhecida.
- Verifique os pacotes (utilizadores avançados): com a depuração ADB ativa, procure
x.cpe,com.oemserviceoucom.abc.nexuscomadb shell pm list packages. - Não confie na desinstalação: o componente volta depois de reiniciar, e a reposição de fábrica repõe o mesmo firmware comprometido.
- Isole ou substitua: desligue a box da rede ou ponha-a numa rede de convidados ou VLAN separada, sem acesso a computadores, NAS ou equipamentos de trabalho. A Synthient aconselha os consumidores a deitarem fora estes equipamentos.
- Nas empresas: faça o inventário dos ecrãs de sinalética digital, boxes em salas de espera e outros dispositivos Android IoT. Bloqueie tráfego MQTT de saída que não seja necessário a partir desses segmentos e garanta que o teletrabalho passa por equipamentos geridos pela organização.
Porque é que isto importa em Portugal
Boxes Android baratas vendem-se com facilidade em marketplaces e lojas online, muitas vezes associadas ao acesso a conteúdos de televisão. Quando funciona como proxy residencial, a box faz passar tráfego de terceiros pelo endereço IP doméstico do dono. Se esse tráfego servir para fraude, ataques ou abuso de serviços online, é o IP do cidadão que aparece nos registos. Isso pode levar a bloqueios por parte de bancos e plataformas, ou até a pedidos de esclarecimento das autoridades.
Para as PME, o risco é ter um equipamento comprometido na mesma rede que os sistemas de negócio. A Google refere que o malware recolhia informação de contas, listas de aplicações e registos do sistema. Se uma box infetada tiver acesso a dados pessoais de clientes ou colaboradores, o caso pode ter de ser avaliado à luz do RGPD, incluindo a eventual notificação de violação de dados à CNPD. As entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) têm obrigações de gestão de risco que incluem a segurança da cadeia de abastecimento. Este caso mostra bem o risco de um fornecedor de hardware agir contra os próprios clientes. Incidentes significativos devem ser notificados ao CNCS/CERT.PT nos termos do regime.
Há também uma dimensão europeia. O Regulamento de Ciber-Resiliência (CRA) vai obrigar os fabricantes de produtos com elementos digitais vendidos na UE a cumprir requisitos de segurança desde a conceção. Ainda assim, o caso XCPE mostra o limite de qualquer certificação que avalia um equipamento uma única vez, antes de ser vendido, quando o código malicioso só é ativado depois de chegar a casa do consumidor.
Perguntas frequentes
O que é a botnet XCPE?
É uma rede de mais de 1,3 milhões de dispositivos Android, sobretudo boxes de TV, controlada através de uma backdoor instalada no firmware. A Google atribui-a à fabricante chinesa Videostrong, que terá vendido o acesso a criminosos.
A minha box ficou limpa depois do desmantelamento?
Não. Os servidores de controlo foram desligados, mas a backdoor continua no firmware e reinstala-se quando o dispositivo reinicia. Pode voltar a ser aproveitada por outros criminosos.
Que marcas estão associadas ao caso?
Os investigadores ligam a maioria dos equipamentos à marca MECOOL e à loja YOKATV, ambas associadas à Videostrong. O fabricante também produzia para outras marcas, por isso podem existir equipamentos afetados com outros nomes.
Que risco corre o dono de uma box infetada?
A ligação à internet de casa pode ser usada por terceiros como proxy, o equipamento pode receber mais malware e podem ser recolhidas informações de contas e do sistema. A recomendação é isolar a box da rede principal ou substituí-la.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Google Threat Intelligence Group, pela TrendAI, pela Trend Micro, pela Plume, pelo BleepingComputer e pela Malwarebytes.