Se você administra mais de um par de Android TV Box genéricos — os que não têm marca reconhecível como ZTE ou onn, mas chegam com nomes como "X96", "H96" ou sem nome nenhum — é quase certo que pelo menos um deles está executando processos que você nunca instalou. Não é uma infecção que aconteceu depois. Já veio assim de fábrica.
Como o malware chega ao dispositivo antes mesmo de você ligá-lo
A maioria dos STBs Android de baixo custo não é fabricada por uma única empresa do início ao fim. Um fabricante de placas compra um chipset (normalmente Amlogic ou Rockchip), instala um firmware Android genérico, e esse firmware passa por várias mãos — integradores, distribuidores, revendedores — antes de chegar à caixa que termina na mão do seu cliente ou na sua frota.
Em qualquer uma dessas etapas, alguém pode (e costuma) adicionar apps de sistema com permissões elevadas: apps de "atualização" que na verdade são adware, serviços em segundo plano que geram tráfego para servidores de terceiros, ou até componentes de botnets que usam o dispositivo como nó de proxy. Como vêm assinados como apps de sistema, o usuário final não consegue desinstalá-los pelas configurações normais do Android.
Não é preciso que o fabricante seja "malicioso" de propósito. Muitas vezes o malware entra através de um componente de atualização de terceiros (um "agente FOTA") que o fabricante integrou para economizar o trabalho de construir o seu próprio, e esse componente foi comprometido em algum ponto da cadeia de distribuição.
O sintoma que você vê não é o problema real
O efeito mais visível desses processos é o consumo de banda: o dispositivo gera tráfego de saída constante, mesmo com a tela desligada. Se você é um ISP ou gerencia uma rede com muitos STBs desse tipo, isso se traduz em:
- Chamados de "internet lenta" que na verdade não têm nada a ver com sua rede — são processos maliciosos consumindo o link do assinante por dentro.
- Degradação de desempenho no próprio dispositivo: CPU e RAM ocupadas por processos em segundo plano que não trazem nada ao usuário.
- Risco reputacional de rede se o dispositivo participa de uma botnet ou de tráfego de ataque de saída, o que pode acabar afetando a reputação do seu bloco de IPs.
O problema é que quase nenhuma ferramenta de diagnóstico de rede aponta isso diretamente. Você vê o sintoma (lentidão, tráfego anômalo), mas não a origem (um processo específico em um dispositivo específico).
Por que um reset de fábrica não basta
Um reset de fábrica não ajuda porque o malware está na própria imagem de fábrica: ao reiniciar, ele volta. E um reset de fábrica remoto em massa em centenas de dispositivos ativos não é uma opção realista se isso significar reconfigurar cada um manualmente depois.
O que realmente funciona é identificar os pacotes específicos que estão rodando e encerrá-los de forma direcionada — sem tocar no resto do sistema, sem interação do usuário, e de forma repetível em toda a frota. É exatamente isso que o eliminador de processos maliciosos do AdminSTB faz: uma lista de bloqueio gerenciada pelo dashboard que o agente aplica em cada ciclo de telemetria, em cada dispositivo, com ou sem acesso root.
Você vai encontrar mais do que espera
Com o ranking de uso de rede por app do AdminSTB, você vê, dispositivo por dispositivo, qual processo está gerando o tráfego e o encerra pelo mesmo dashboard.
O que fazer se você suspeitar que sua frota tem esse problema
- Escolha um dispositivo representativo e verifique quais processos de sistema você não reconhece — apps com nomes genéricos, pacotes com nomes de domínio chineses pouco comuns, ou serviços de "atualização" sem marca clara.
- Cruze essa lista com o consumo de rede de cada processo durante um período sem uso ativo (de madrugada, por exemplo). Um consumo constante em segundo plano é o sinal mais claro.
- Se a suspeita for confirmada, você precisa de uma forma de aplicar a solução em toda a frota de uma vez, não dispositivo por dispositivo — caso contrário o problema volta assim que um escapar.
Esse último ponto é o que mais consome tempo das equipes que gerenciam frotas manualmente. Com visibilidade centralizada e uma lista de bloqueio que se aplica sozinha em cada check-in, isso deixa de ser um problema recorrente e passa a ser uma tarefa de manutenção de rotina.