Uma operação com o Google, a Polícia Nacional do Japão e cinco empresas de segurança derrubou os servidores de comando de uma botnet com mais de 1,3 milhão de aparelhos Android, a maior parte TV boxes de streaming. A rede alcançava mais de 170 países, e o Brasil aparece entre os mais afetados, ao lado de México, Iraque e Taiwan.
Em comunicado divulgado na segunda-feira (2), o Google atribuiu o problema à fabricante chinesa Videostrong. Segundo a empresa, a Videostrong colocou o código malicioso nos aparelhos de propósito e vendeu o acesso a eles para criminosos. A fabricante não comentou publicamente. A punição veio em duas frentes: o Google encerrou a relação comercial e proibiu a Videostrong, e qualquer subsidiária futura, de produzir ou vender aparelhos Android certificados.
Como funcionava o esquema
A porta de entrada era um componente de gerenciamento chamado x.cpe, que já saía de fábrica escondido no sistema. Ele foi feito para passar em testes de segurança sem ser detectado e mantinha acesso privilegiado ao aparelho, o que permitia instalar aplicativos sem nenhum aviso na tela. A conexão com os servidores dos criminosos usava um protocolo de mensagens leve, atravessava firewalls domésticos comuns e voltava a funcionar depois de cada reinicialização.
Com esse controle, os operadores rodavam vários módulos de monetização em segundo plano e podiam trocá-los remotamente. Os principais eram fraude de cliques em anúncios e o aluguel da conexão da casa como proxy residencial. Quem pagava por esse tráfego navegava com o IP de uma residência comum, o que engana sistemas antifraude de bancos e lojas que avaliam a reputação do endereço. Parte dos aparelhos também virava nó de rede de distribuição de conteúdo. A conta da banda e do processamento ficava com o dono.
A lista de equipamentos afetados vai além das caixinhas genéricas. Entraram modelos da marca MECOOL, aparelhos de telessaúde e karaokês digitais.
O malware continua nos aparelhos
Derrubar os servidores cortou o controle dos criminosos sobre a frota principal, mas o código segue gravado na partição de sistema de muitas unidades vendidas. Por isso, restaurar as configurações de fábrica não basta. Robert Neumann, vice-presidente de laboratórios de segurança da Plume, diz que a limpeza definitiva depende de ação do fabricante ou da troca do aparelho. As empresas envolvidas, entre elas Lumen, HUMAN Security, Synthient e TrendAI, seguem monitorando se os operadores tentam migrar para novos servidores.
No Brasil, o caso pesa mais. TV boxes sem certificação são vendidas em marketplaces e no comércio informal, muitas prometendo canais pagos de graça, e a Anatel já apreende e bloqueia esses aparelhos. Este episódio mostra um custo menos visível: o dono pode estar emprestando a própria conexão para golpes sem saber.
Neumann recomenda evitar caixas Android TV sem marca ou sem certificação, além de aplicativos que pagam para compartilhar largura de banda. Larissa Knapp, chefe de proteção de conteúdo da Motion Picture Association, pede que set-top boxes sejam comprados só de fabricantes conhecidos. Minha leitura: se a sua caixinha não tem Android TV ou Google TV certificado e veio com apps de IPTV pré-instalados, tire-a da rede. Modelos homologados, como o Xiaomi TV Box S e o Fire TV Stick 4K, custam mais e recebem atualizações de segurança.
Onde comprar:
Oferta · KaBuM! Xiaomi Tv Box S 4k Ultra Hd (3ª Geração) Mdz-32-aa 2gb, Ram 32gb, Memória, Wi-fi 6, Dolby Vision/atmos, Hdr10+, Dts-x, P Ver oferta → 
Oferta · Amazon Amazon Fire TV Stick HD (modelo mais recente), Controle Remoto por Voz com Alexa, alimentado pela TV, com configuração s Ver oferta → 
Oferta · Amazon Controle remoto inteligente de substituição para Google TV Streamer 4K, controle remoto de pesquisa por voz com campainh Ver oferta →
