Em 2 de novembro de 2026, o Google anunciou a derrubada da XCPE, uma botnet com mais de 1,3 milhão de TV box Android. Segundo o Google, o backdoor veio instalado de fábrica e o fabricante vendia o acesso a terceiros. Os servidores de comando foram cortados, mas as caixas continuam infectadas e o malware se reinstala sozinho. Para um provedor, a notícia não encerra o problema: ela o confirma.
Neste texto resumimos o que se sabe até agora, o que ficou sem solução e o que um provedor pode fazer com as caixas da sua base. As informações vêm da cobertura da imprensa sobre o anúncio do Google (fontes no final); não temos um detalhamento de infecções por país, então não podemos dizer quantas caixas afetadas existem no Brasil ou na Argentina.
O que aconteceu
- A botnet. Chama-se XCPE e reunia mais de 1,3 milhão de dispositivos, na grande maioria TV box Android. O mesmo backdoor apareceu em outros equipamentos Android, como aparelhos de telessaúde, karaokês e sinalização digital.
- O responsável. O Grupo de Inteligência de Ameaças do Google (GTIG) atribui a operação, com alta confiança, à Videostrong Technology, fabricante de Shenzhen. Segundo o Google, a empresa instalou o backdoor de propósito e vendia acesso a afiliados criminosos, que carregavam seus próprios módulos.
- A resposta. O Google derrubou os servidores de comando (que, pela estimativa dele, davam acesso a cerca de 10 milhões de dispositivos a mais, infectados por outros meios), tomou medidas judiciais contra os domínios e servidores e rompeu com a Videostrong: revogou a licença de Android TV e a proibiu de fabricar dispositivos Android certificados. Também mudou o processo de certificação, porque a empresa usava ofuscação para driblar os testes de segurança.
- Os parceiros. Participaram Lumen (Black Lotus Labs), HUMAN Security, Plume, Synthient e TrendAI, e a polícia nacional do Japão ajudou a coordenar.
Por que isso é diferente de "mais um malware"
A maioria das infecções discutidas neste blog chega por um app pirata ou um download duvidoso. A XCPE não: o backdoor estava no firmware, colocado na linha de produção. O assinante não fez nada de errado, e não há vulnerabilidade para corrigir. É o cenário que descrevemos em por que sua Android TV Box vem com malware de fábrica, agora com nome, escala e um fabricante apontado pelo Google.
Segundo os relatórios, o backdoor roda com privilégios de sistema e pode instalar apps, desativar o Google Play Protect, executar comandos, tirar capturas de tela, registrar teclas e abrir um shell remoto. Foi usado principalmente para três coisas: proxy residencial (alugar a conexão do assinante a terceiros), fraude publicitária e instalação de outros backdoors.
O que isso significa para um provedor
O proxy residencial é o que mais importa para um provedor. Uma caixa usada como proxy deixa sair pelo IP do assinante tráfego que nem o assinante nem o provedor geraram: esse tráfego ocupa o acesso e o uplink (a cadeia de custos que explicamos em TV box genéricas no Brasil e na Argentina) e ainda associa o IP a atividade de terceiros, o que pode gerar reclamações de abuso ou IPs em listas de bloqueio. Esse último ponto é uma consequência razoável do uso como proxy, não algo que tenhamos visto medido em uma rede concreta.
O que o takedown não resolveu
Esta é a parte mais importante da notícia e a que menos aparece nas manchetes:
- O Google agiu sobre a infraestrutura de comando. Os dispositivos continuam com o backdoor.
- O malware se reinstala a partir da partição
/oem/, então desinstalar um app ou fazer reset de fábrica não basta. É preciso firmware limpo. - Até lá, a única mitigação citada nos relatórios é desconectar a caixa da internet.
- Desde agosto de 2026, segundo o BleepingComputer, os operadores passaram a usar droppers menores, disfarçados de apps do sistema. Ou seja, o cenário continua mudando.
A Synthient encontrou o malware pré-instalado em uma MECOOL KM9PRO Max que comprou no fim de 2025. Isso não significa que todas as caixas dessa marca estejam afetadas: é um modelo específico.
O que você pode fazer com a sua base de caixas
Uma ressalva de honestidade antes da lista: o AdminSTB não remove a XCPE. O agente só enxerga as caixas em que está instalado, e remover um backdoor que se reinstala a partir de /oem/ exige trocar o firmware, algo fora do que o painel faz. O que ajuda é saber quais caixas são suspeitas e priorizá-las:
- Inventário por modelo. Monte a lista de modelos e marcas da sua frota e compare com os modelos citados nos relatórios do Google e da Synthient. Se você não sabe quais modelos tem, esse é o primeiro achado (veja a auditoria de frota).
- Lista de apps instalados. O AdminSTB mostra os apps de cada caixa, com a origem da instalação e uma pontuação de perigo. Procure os pacotes
x.cpe,com.oemserviceecom.abc.nexus. Encare como uma pista, não como um veredito: um componente de sistema pode não aparecer, e a ausência não prova que a caixa está limpa. - Consumo por app e tráfego de saída. Uma caixa que envia dados constantemente sem ninguém assistindo vídeo é suspeita, tenha ou não um pacote com esses nomes. O ranking de consumo por app é o ponto de partida.
- Consultas DNS. Os relatórios citam o domínio de comando
anyevonline[.]come o brokermqtt.szbboys[.]com. Se você guarda o histórico de consultas DNS (por exemplo com o Pico-Server, da LintraTech), buscar esses nomes identifica quais assinantes têm uma caixa comprometida, mesmo que o Google já tenha intervindo nos servidores. Bloqueá-los no seu DNS ou firewall (o MoniTik ajuda a centralizar essa política em MikroTik) corta a comunicação enquanto isso. - Troca ou firmware limpo. Para as caixas confirmadas ou suspeitas, a saída real é trocar por uma certificada ou regravar com firmware confiável. Nas certificadas que testamos (onn, ZTE), as atualizações não são silenciosas e pedem confirmação na tela, mas o hardware passou nos testes de compatibilidade e segurança do Google.
AdminSTB para provedores de internet
Inventário de modelos, apps com origem de instalação e consumo por app de toda a sua frota, em um só painel.
O que fazer agora
- Liste os modelos de caixa da sua base e compare com os citados nos relatórios do Google e da Synthient.
- Verifique nos seus logs de DNS se algum assinante consultou os domínios mencionados.
- Defina como vai trocar ou regravar as caixas que derem positivo e quem arca com o custo.
- Se você entrega caixas aos assinantes, exija do fornecedor firmware auditado e modelos certificados, ou peça garantias por escrito.
Fontes
Dados tirados da cobertura do anúncio do Google de 2 de novembro de 2026. Não revisamos o relatório original do GTIG, então os números e as atribuições são os que a imprensa reporta: