O Google Threat Intelligence Group anunciou o desmantelamento da botnet XCPE, que comprometia mais de 1,3 milhão de dispositivos Android, principalmente set-top boxes e TV boxes, com presença relevante no Brasil.
O que aconteceu
A ação envolveu takedowns de domínios e servidores de comando e controle, além do banimento da Videostrong Technology Co., de Shenzhen, e suas subsidiárias do fornecimento de firmware ou software para dispositivos certificados pelo Google. A empresa é apontada com alta confiança como responsável pelo desenvolvimento e operação da backdoor por anos, com foco em monetização via afiliados.
Arquitetura técnica
A backdoor possui arquitetura modular de três estágios. O componente primário, x.cpe ou com.oemservice, opera com privilégios android.uid.system e é pré-carregado na partição de firmware, reinstalando-se automaticamente a partir de /oem/ após reinicializações. Um loader secundário, como com.abc.nexus, baixa módulos adicionais para fraudes publicitárias, proxies residenciais e outras funções de monetização.
A persistência é reforçada por ofuscação que evita detecção em testes de compatibilidade do Google e pela carga após o primeiro boot. O canal de comando e controle utiliza MQTT após bootstrap via HTTP, com broker em mqtt.szbboys[.]com, permitindo instalação silenciosa de aplicativos, execução de shell arbitrário, captura de tela, desativação do Play Protect e reconhecimento de rede.
Impacto e dispositivos afetados
Monitoramentos independentes, como o da TrendAI entre junho e outubro de 2026, identificaram cerca de 1,47 milhão de dispositivos em 206 modelos distribuídos por mais de 170 países. Malásia, Brasil, Iraque, México e Taiwan concentraram os maiores volumes, com o Brasil registrando aproximadamente 150 mil dispositivos afetados. Análises do NICT do Japão confirmaram a presença da backdoor em equipamentos de múltiplos fabricantes, sugerindo possível reutilização ou comprometimento na cadeia de suprimentos.
Dispositivos no Brasil, em sua maioria TV boxes Android sem suporte oficial de atualização, representam um vetor de risco adicional para redes residenciais e corporativas que dependem de conectividade estável.
Ações de mitigação e recomendações
Além dos takedowns, o Google implementou melhorias nos processos de revisão de firmware e integridade para Android TV. Fabricantes e integradores devem garantir que dispositivos novos não tragam componentes não autorizados e que atualizações de firmware sejam verificadas quanto à integridade. Usuários de TV boxes Android sem suporte oficial de atualização devem considerar a substituição por equipamentos certificados e mantidos pelo fabricante.
Organizações que operam redes no Brasil podem monitorar tráfego MQTT suspeito e conexões para domínios associados ao botnet como medida complementar de detecção.
About the Author
