Google desmantela botnet com 1,3 milhões de dispositivos Android e acusa fabricante de instalar malware

A Google, em colaboração com autoridades policiais e empresas de cibersegurança, anunciou o desmantelamento da infraestrutura da botnet XCPE, composta por mais de 1,3 milhões de dispositivos Android TV comprometidos com malware instalado durante o processo de fabrico. A investigação concluiu, com um elevado grau de confiança, que a fabricante chinesa Videostrong Technology Co. desenvolveu e integrou deliberadamente o código malicioso nos equipamentos, disponibilizando posteriormente o acesso a grupos envolvidos em atividades de cibercrime.

Segundo o Google Threat Intelligence Group (GTIG), a operação permitiu desativar servidores de comando e controlo (C2) associados à XCPE e a mais de uma dezena de famílias de malware relacionadas. A intervenção interrompeu também o acesso dos operadores criminosos a pelo menos dez milhões de outros dispositivos comprometidos, incluindo equipamentos de televisão, sistemas de karaoke e dispositivos utilizados em serviços de telemedicina. Estes equipamentos adicionais foram infetados através de outros mecanismos de distribuição de malware e não pertenciam necessariamente à botnet XCPE, nem eram todos dispositivos Android.

A Google anunciou igualmente o fim da sua relação comercial com a Videostrong, revogando a autorização da empresa para fabricar equipamentos Android TV com aplicações e serviços Google pré-instalados. A fabricante e as suas futuras entidades afiliadas ficam também impedidas de produzir dispositivos Android certificados ou fornecer software a fabricantes certificados.

“Avaliamos com elevado grau de confiança que o backdoor e a botnet foram intencionalmente desenvolvidos, distribuídos e operados para obter benefícios financeiros pela Videostrong Technology Co.”, afirmou o GTIG no relatório sobre a investigação.

Malware era instalado diretamente no firmware dos equipamentos

Ao contrário de muitas botnets que comprometem dispositivos através da exploração de vulnerabilidades ou da instalação de aplicações maliciosas pelos utilizadores, a XCPE distinguia-se pela presença do malware diretamente no firmware dos equipamentos, antes de estes chegarem aos consumidores. Esta abordagem permitia que os dispositivos fossem integrados na infraestrutura criminosa desde a primeira utilização, sem exigir qualquer ação do proprietário.

A Google identificou o código malicioso em diferentes marcas e modelos de equipamentos comercializados ao longo de vários anos. Segundo a investigação, a Videostrong terá desenvolvido e distribuído sucessivas versões do malware, alterando a sua arquitetura e configuração para dificultar a deteção e permitir a utilização da infraestrutura por diferentes grupos criminosos.

O principal componente do backdoor, identificado como x.cpe e com.oemservice, funcionava com privilégios de sistema no Android, proporcionando aos operadores um nível elevado de controlo sobre os dispositivos comprometidos. Após o arranque do equipamento, o malware estabelecia contacto com servidores associados ao domínio anyevonline[.]com, de onde obtinha as informações necessárias para comunicar com a infraestrutura de comando e controlo.

As instruções eram posteriormente transmitidas através de um servidor de mensagens baseado no protocolo MQTT, alojado em mqtt.szbboys[.]com. Esta arquitetura permitia aos operadores enviar comandos remotamente, instalar novos módulos maliciosos e gerir os dispositivos infetados de forma centralizada, sem que os utilizadores tivessem conhecimento da atividade.

Entre as capacidades identificadas estavam a instalação silenciosa de aplicações Android, a desativação do Google Play Protect, a execução de comandos e scripts com privilégios de sistema e a recolha de informações sobre contas, aplicações instaladas e registos do dispositivo. O malware permitia ainda capturar imagens do ecrã, simular introdução de dados pelo teclado, analisar a rede local e estabelecer ligações remotas através de reverse shells.

Dispositivos eram utilizados para fraude publicitária e proxies residenciais

A XCPE funcionava como uma plataforma modular de cibercrime, na qual o backdoor principal assegurava o acesso aos equipamentos e outros componentes eram responsáveis por gerar receitas. Segundo a Google, os operadores disponibilizavam a infraestrutura a terceiros, que podiam instalar módulos adicionais para executar diferentes atividades ilícitas, transformando os dispositivos comprometidos em recursos partilhados entre vários grupos criminosos.

Uma das principais utilizações envolvia a criação de redes de proxies residenciais, através das quais o tráfego de Internet de terceiros era encaminhado pelos equipamentos das vítimas, sem o seu conhecimento ou consentimento. A investigação identificou módulos associados a serviços como Linkfog, AppSalt/Honeygain, GaGaNode, NetNut e Traffmonetizer, permitindo que as ligações domésticas dos utilizadores fossem utilizadas por terceiros.

Outros módulos estavam orientados para a fraude publicitária, gerando visualizações de anúncios, carregando páginas web ocultas e simulando cliques para produzir receitas fraudulentas. Foram também identificados componentes que instalavam outros backdoors, incluindo Moyu, Spirit e Bird, utilizados para descarregar e executar malware adicional.

A arquitetura da XCPE foi sendo modificada ao longo do tempo para dificultar a identificação das atividades maliciosas. No final de 2024, os operadores começaram a utilizar um componente separado, denominado com.abc.nexus, responsável pela execução dos módulos adicionais, enquanto o XCPE passou a concentrar-se nas comunicações com os servidores de comando e controlo. A partir de agosto de 2026, este componente começou a ser substituído por programas mais pequenos e especializados, disfarçados de aplicações de sistema Android.

Investigação liga infraestrutura criminosa à Videostrong

A atribuição da operação à Videostrong resultou de uma investigação conjunta que incluiu contributos da empresa de cibersegurança Synthient. A análise teve origem na descoberta do malware pré-instalado numa box Android TV MECOOL KM9PRO Max, adquirida no final de 2025, e permitiu estabelecer várias ligações entre a infraestrutura da botnet e a fabricante chinesa.

Durante a investigação, a Synthient identificou um diretório acessível publicamente num servidor associado ao domínio file.anyevonline[.]com, utilizado para alojar componentes maliciosos. Entre os ficheiros disponíveis encontrava-se uma pasta com documentos PDF, incluindo um ficheiro atribuído a Owen Cao, diretor de investigação e desenvolvimento da Videostrong Technology Co.

Os investigadores descobriram ainda que o domínio empresarial videostrong[.]cn apontava para o mesmo endereço IP utilizado por mqtt.anyevonline[.]com, um servidor associado à infraestrutura de comando e controlo. A análise identificou também vários endereços de email corporativos da Videostrong utilizados na assinatura dos componentes maliciosos, reforçando a ligação entre a empresa e o desenvolvimento do malware.

Com base nestes elementos, a Google considera que a instalação do backdoor foi deliberada e não resultou da atuação isolada de um funcionário ou de um erro no processo de desenvolvimento. “Acreditamos que esta campanha não foi um incidente isolado provocado por alguém dentro da organização, nem uma falha de desenvolvimento”, afirmou a empresa.

A operação de desmantelamento contou com a participação da Agência Nacional de Polícia do Japão e das empresas Lumen, HUMAN Security, Plume, Synthient e TrendAI, que colaboraram na análise da infraestrutura maliciosa e na interrupção das suas operações.

Desmantelamento não remove malware dos dispositivos infetados

Apesar da interrupção dos servidores de comando e controlo, a Google alerta que o malware continua presente nos dispositivos comprometidos. O código malicioso foi instalado numa partição do sistema identificada como /oem/, a partir da qual pode voltar a ser instalado automaticamente caso seja removido por outros meios.

Esta característica dificulta a recuperação dos equipamentos, uma vez que a eliminação das aplicações maliciosas ou a reposição das definições convencionais pode não ser suficiente para remover a infeção. Segundo a investigação, a recuperação exige a instalação de firmware limpo e de confiança ou, quando essa opção não está disponível, a desconexão do equipamento da Internet para impedir novas atividades maliciosas.

A Google revelou também que alterou os seus procedimentos de certificação de dispositivos Android após descobrir que a Videostrong utilizava técnicas de ofuscação para contornar os testes de segurança e carregar componentes maliciosos apenas depois do primeiro arranque dos equipamentos. O caso demonstra as limitações dos mecanismos de proteção tradicionais quando o software comprometido é integrado no dispositivo antes da sua comercialização.

A operação contra a XCPE evidencia um risco de segurança que ultrapassa a infeção individual de equipamentos: a possibilidade de dispositivos aparentemente legítimos serem distribuídos com funcionalidades maliciosas incorporadas no firmware e posteriormente explorados por diferentes operadores criminosos. Embora a Google tenha conseguido interromper uma parte significativa da infraestrutura utilizada pela botnet, a permanência do malware nos dispositivos afetados mantém o risco de novas atividades maliciosas, sobretudo nos equipamentos que continuem ligados à Internet sem uma atualização de firmware fiável.