Uma operação global desmantelou uma rede criminosa que controlava 1,3 milhão de aparelhos eletrônicos sem o consentimento dos donos. O Brasil aparece como o segundo país mais afetado, atrás apenas da Malásia. O detalhe mais assustador: a contaminação vinha de fábrica.
O esquema: malware pré-instalado na linha de montagem
Batizado de XCPE, o programa malicioso era injetado no sistema operacional durante a fabricação. Não bastava evitar links suspeitos ou downloads duvidosos; o dispositivo já saía da caixa “sequestrado”.
A fabricante identificada é a Videostrong, sediada em Shenzhen, na China. Segundo o Google, a empresa vendia o acesso a essa frota de equipamentos comprometidos para redes criminosas. O lucro vinha de duas frentes: fraudes publicitárias bilionárias e a revenda da banda de internet das vítimas como serviço de proxy.
Seu aparelho pode estar lucrando para bandidos agora
Enquanto o dono assistia a um filme, o TV box gerava cliques falsos em anúncios ou roteava tráfego suspeito pela conexão residencial. O prejuízo vai além da lentidão na rede:
- Fraude de anúncios: anunciantes pagam por visualizações que nunca foram vistas por humanos.
- Roubo de banda: a conexão do usuário vira “arma” para mascarar ataques ou burlar bloqueios geográficos.
- Risco jurídico: tráfego ilícito saindo do IP da vítima pode gerar investigações policiais indesejadas.
Brasil no radar: 170 países contaminados
Dados de inteligência de ameaças apontam infecções em 170 nações. O ranking de maiores vítimas coloca a Malásia na liderança, seguida pelo Brasil. Iraque, México e Taiwan completam a lista dos cinco mais atingidos.
A diversidade de hardware chama a atenção. Embora TV boxes com Android sejam a maioria, o malware também foi encontrado em equipamentos de telemedicina, máquinas de karaokê profissionais e painéis de sinalização digital. A superfície de ataque extrapola a sala de estar.
Como a certificação do Google foi burlada
Fabricantes parceiros precisam passar por testes rigorosos de compatibilidade e segurança (CTS) para usar o selo Android TV. A Videostrong desenvolveu técnicas de ofuscação que escondiam o código malicioso durante as auditorias, ativando-o apenas após a primeira inicialização na casa do consumidor.
A prática teria começado no fim de 2024. “Um fabricante infectar intencionalmente usuários é uma quebra inaceitável de confiança”, declarou o Google. A reação foi imediata: rompimento de contrato, veto à produção de dispositivos certificados e proibição de fornecer software a outros parceiros homologados.
O alerta da Anatel para a infraestrutura nacional
A Agência Nacional de Telecomunicações não participou da takedown técnica, mas emitiu posicionamento duro. Para a superintendência de fiscalização, equipamentos não homologados representam ameaça direta à infraestrutura cibernética do país.
O argumento vai além da proteção ao consumidor: dispositivos “zumbis” conectados em massa podem ser orquestrados para derrubar serviços essenciais, congestionar redes 5G ou servir de ponte para invasões corporativas. A integridade da rede depende, literalmente, da procedência do hardware plugado na tomada.
O que observar daqui para frente
A operação envolveu polícia japonesa, Google, Lumen, HUMAN Security, Plume, Synthient e Trend Micro. A coordenação internacional sinaliza que o modelo de “malware como serviço de fábrica” virou prioridade global.
Para o gestor de TI ou investidor em ativos digitais, três ações práticas emergem: auditar a origem de qualquer dispositivo IoT ou Android corporativo; exigir certificação Anatel e Google Play Protect em aquisições de larga escala; monitorar tráfego de saída anômalo em redes que possuam TV boxes ou sinalizadores digitais. A próxima onda de botnets não virá de e-mails de phishing — ela já pode estar na caixa lacrada no seu almoxarifado.
