A Google e um grupo de parceiros do setor privado e público desmantelaram o XCPE, uma botnet com mais de 1,3 milhões de dispositivos Android, a maioria boxes de televisão. Ao contrário do que é habitual, o código malicioso não chegou por uma falha de segurança nem por uma aplicação instalada pelo utilizador. Segundo a Google, a porta das traseiras e a botnet foram criadas, instaladas e operadas de propósito pela Videostrong Technology Co., fabricante de equipamentos Android (OEM e ODM), para ganhar dinheiro. A Google diz ter “elevada confiança” nesta atribuição. A tecnológica cortou relações com a empresa e proibiu-a de produzir dispositivos Android certificados.
Resposta rápida: A botnet XCPE vinha instalada no firmware de boxes Android TV e de outros equipamentos ligados à internet desde a fábrica. Usava a ligação doméstica dos compradores para fraude publicitária e para redes de proxies residenciais. Os servidores de controlo foram desligados, mas o código continua nos aparelhos e não existe nenhuma correção. Se tem uma box Android barata, sem marca conhecida ou sem certificação, verifique-a, isole-a numa rede separada ou pense em substituí-la por um modelo de um parceiro oficial da Google.
Uma operação conjunta com a polícia japonesa
A operação foi anunciada a 2 de novembro de 2026. Os parceiros públicos e privados descreveram-na como uma ação coordenada contra uma botnet presente em mais de 1,3 milhões de boxes, em mais de 200 países. Participaram a Google, a Plume, a TrendAI, a Lumen, a HUMAN Security e a Synthient, em colaboração com a Agência Nacional de Polícia do Japão. No relatório técnico do Google Threat Intelligence Group (GTIG), a Google diz que desmantelou a infraestrutura com os parceiros na semana anterior à publicação.
A Google avançou com ações judiciais contra a infraestrutura que controlava o XCPE e mais de uma dezena de famílias de malware distribuídas através dele. O impacto pode ir além das boxes infetadas diretamente. Os afiliados também distribuem os seus módulos por outros canais. Por isso, a Google estima que desligar os seus domínios corte o acesso a pelo menos 10 milhões de dispositivos comprometidos adicionais.
Como funcionava o XCPE
O componente principal surge com os nomes x.cpe e com.oemservice. Corre com privilégios de sistema do Android, o que impede o utilizador de o remover normalmente. O contacto com o servidor de comando e controlo (C2) tinha duas fases. Primeiro, um pedido HTTP POST obtinha a configuração, dados de geolocalização e parâmetros STUN. Depois, o aparelho abria uma ligação MQTT permanente para receber instruções. Os comandos permitiam instalar aplicações sem o utilizador saber, executar comandos de shell arbitrários, capturar o ecrã e fazer reconhecimento da rede. Tudo passava por um único broker MQTT.
A arquitetura foi mudando. No final de 2024, a Videostrong começou a usar um carregador separado, o com.abc.nexus, que executava os módulos maliciosos. O XCPE ficou responsável apenas pelas comunicações com o C2. A partir de agosto de 2026, novos pacotes dropper passaram a ser instalados pelo canal MQTT, ao mesmo tempo que o com.abc.nexus era desinstalado em massa. Segundo a Google, estes droppers fazem-se passar por aplicações de sistema, com nomes como com.android.system.ntp e com.android.sso.auth.handler.
O esquema também foi pensado para passar nos controlos de certificação. A porta das traseiras consegue desativar a verificação de aplicações do Google Play Protect. Segundo a Google, a Videostrong usou ofuscação e só carregava o código malicioso depois do primeiro arranque, para escapar à certificação. A Google alterou entretanto o processo de revisão.
Como era feito o dinheiro: fraude publicitária e proxies residenciais
Segundo o GTIG, os módulos dos afiliados tinham três funções: fraude publicitária, inscrição silenciosa dos aparelhos em redes de proxies residenciais e instalação de mais malware nos dispositivos comprometidos. Na prática, a ligação de internet de uma casa era alugada a terceiros, que podiam fazer passar o seu tráfego por um endereço IP doméstico aparentemente legítimo. A TrendAI, unidade de investigação da Trend Micro, acrescenta que o acesso através das boxes infetadas era vendido como serviço de proxy residencial e de gateway de IA.
Robert McArdle, diretor de investigação de cibercrime da TrendAI, afirmou que milhões de casas e empresas não sabiam que o seu equipamento estava a ser usado em atividade criminosa, incluindo fraude contra anunciantes e ataques feitos através de proxies residenciais.
Como a operação foi ligada à Videostrong
A Synthient fez uma investigação paralela, em parceria com a Motion Picture Association. O relatório centra-se nas boxes da marca MECOOL, que vêm pré-infetadas e que, segundo a empresa, dominam o mercado de consumo desde o início de 2020. Os investigadores compraram uma MECOOL KM9PRO Max no final de 2025 e encontraram o malware já instalado. Para atribuir a autoria, a Synthient aponta um documento assinado pelo diretor de investigação e desenvolvimento da Videostrong, encontrado numa pasta aberta de um dos servidores da botnet. Aponta também um domínio da Videostrong que partilha o endereço IP com o painel de controlo dos operadores. Vários endereços de email da empresa foram ainda usados para assinar as portas das traseiras.
A Google já agiu contra a empresa. Cortou a relação com a Videostrong, revogou a licença para fabricar dispositivos Android TV com aplicações e serviços Google pré-instalados e proibiu a empresa e as suas futuras afiliadas de produzir dispositivos Android certificados ou de fornecer software a fabricantes certificados.
Cronologia
| Data | Acontecimento |
|---|---|
| Desde o início de 2020 | Boxes MECOOL pré-infetadas presentes no mercado de consumo (Synthient) |
| Final de 2024 | Os módulos maliciosos passam a correr num carregador separado, o com.abc.nexus (Google) |
| Final de 2025 | A Synthient compra uma MECOOL KM9PRO Max e encontra a porta das traseiras |
| Junho a outubro de 2026 | A TrendAI mede a dimensão da operação |
| Agosto de 2026 | Novos droppers substituem o com.abc.nexus (Google) |
| Final de outubro de 2026 | A infraestrutura é desmantelada |
| 2 de novembro de 2026 | Anúncio público e publicação dos relatórios técnicos |
Indicadores de comprometimento (IOCs)
Não há CVE nem pontuação CVSS associados, porque não se trata de uma vulnerabilidade: o comportamento malicioso foi colocado de propósito no firmware. Os indicadores abaixo foram divulgados pela Google e estão neutralizados (com [.]) para não serem clicáveis.
| Tipo | Indicador | Função |
|---|---|---|
| Pacote Android | x.cpe / com.oemservice | Porta das traseiras principal no firmware |
| Pacote Android | com.abc.nexus | Carregador de módulos |
| Pacote Android | com.android.system.ntp, com.android.sso.auth.handler | Droppers disfarçados de aplicações de sistema |
| Domínio | *[.]anyevonline[.]com | Subdomínios de registo no C2 |
| URL | hxxp://mcstb[.]anyevonline[.]com:8000 | Endpoint usado em dispositivos MECOOL |
| Endereço IP | 38[.]145[.]197[.]135 | Aloja o anyevonline[.]com e o servidor de ficheiros |
| Domínio | mqtt[.]szbboys[.]com | Broker MQTT de comando |
O que fazer se tiver uma destas boxes
Desligar os servidores travou a exploração, mas não limpou os aparelhos. O código continua no firmware e não há nenhuma atualização do fabricante que o remova. Recomenda-se o seguinte:
- Confirme a marca e o modelo. Atenção: o nome do modelo, por si só, não prova que a box está infetada.
- Se tiver conhecimentos técnicos, ative a depuração por ADB e liste os pacotes instalados (
adb shell pm list packages), procurando os nomes da tabela acima. - Nas empresas, procure nos registos de DNS e da firewall consultas aos domínios
anyevonline[.]comeszbboys[.]com. - Coloque televisões, boxes e outros equipamentos IoT numa rede separada (por exemplo, a rede de convidados do router), longe dos computadores e da rede da empresa.
- Se confirmar a infeção, desligue o aparelho da internet e substitua-o por um modelo certificado de um parceiro oficial do Android TV.
A TrendAI aconselha os consumidores a evitar boxes Android TV sem marca ou sem certificação, bem como aplicações que pagam pela partilha de largura de banda.
Porque é que isto importa em Portugal
Boxes Android baratas, muitas vezes compradas em marketplaces ou usadas para ver conteúdos de streaming, estão em muitas casas e pequenos negócios portugueses. Se uma delas estiver infetada, o endereço IP do cliente pode aparecer associado a fraude, a tentativas de acesso com credenciais roubadas ou a outros crimes cometidos por terceiros. Quando a mesma rede é usada para teletrabalho ou para o funcionamento de uma PME, um equipamento comprometido com capacidade para executar comandos e fazer reconhecimento da rede também expõe os outros sistemas.
Para as organizações abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), o caso mostra o peso do risco na cadeia de fornecimento. Equipamentos ligados à rede, incluindo sinalética digital e dispositivos de telessaúde (ambos referidos pela Google), devem constar do inventário de ativos e da avaliação de fornecedores. Se houver tráfego ou dados pessoais expostos através destes aparelhos, podem aplicar-se também as obrigações do RGPD. Os incidentes podem ser comunicados ao CNCS/CERT.PT. A nível europeu, o Regulamento de Ciber-Resiliência vai exigir requisitos de segurança desde a conceção aos produtos com elementos digitais vendidos na União Europeia, precisamente o tipo de garantia que faltou neste caso.
Perguntas frequentes
O que é a botnet XCPE?
É uma rede de mais de 1,3 milhões de dispositivos Android, sobretudo boxes de televisão, controlados à distância através de uma porta das traseiras instalada no firmware. A Google atribui a sua criação ao fabricante chinês Videostrong Technology.
Como sei se a minha box Android TV está infetada?
Pode ligar-se à box por ADB e procurar pacotes como x.cpe, com.oemservice ou com.abc.nexus. Em rede, pode procurar consultas DNS aos domínios anyevonline.com e szbboys.com. O modelo da box, por si só, não prova a infeção.
Uma reposição de fábrica resolve o problema?
Não. O código malicioso está no firmware e corre com privilégios de sistema, por isso volta a ficar ativo depois de uma reposição de fábrica. As opções mais seguras são isolar o aparelho da rede ou substituí-lo por um modelo certificado.
Que riscos corre quem tem uma destas boxes?
A ligação de internet pode ser usada por terceiros como proxy residencial, para fraude publicitária ou para instalar mais malware. O endereço IP do cliente pode ficar associado a atividade criminosa, e os restantes equipamentos da rede ficam mais expostos.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Google Threat Intelligence Group, pela TrendAI, pela Synthient e pela Plume.