Na semana passada, o Google e parceiros do setor desmontaram a XCPE, uma backdoor, que é uma porta secreta escondida num programa, que colocou mais de 1,3 milhão de set-top boxes em uma botnet. Set-top boxes são aqueles conversores de TV que dão acesso a streaming e canais na sala de casa. A botnet é uma rede de aparelhos infectados que podem ser controlados remotamente por criminosos.

O Google concluiu, com alta confiança, que a backdoor foi desenvolvida, distribuída e operada com fins lucrativos pela Videostrong Technology, fabricante chinesa de aparelhos com Android. Segundo a empresa, a Videostrong vendia acesso aos aparelhos para criminosos parceiros, que carregavam seus próprios módulos de malware: fraude de anúncios, transformação dos aparelhos em proxies residenciais, que servem para mascarar o tráfego de outros criminosos, e instalação de malwares adicionais. Ao todo, a fonte diz que o desligamento dos domínios de comando e controle deve cortar o acesso a pelo menos 10 milhões de outros dispositivos comprometidos.

O malware estava embutido em muitos modelos e marcas de aparelhos, ao longo de vários anos. O Google afirma que não se trata de um descuido de desenvolvimento nem de um funcionário isolado. Por isso, a empresa rompeu relações com a Videostrong e a proibiu de fabricar aparelhos com aplicativos Google pré-instalados. Também foram feitas mudanças no processo de testes de compatibilidade e segurança: a Videostrong usou técnicas de ofuscação, que disfarçam o código, para burlar os testes e carregar código malicioso depois do primeiro boot.

Na prática, pessoas que compraram esses aparelhos foram infectadas sem saber, e suas conexões e energia passaram a servir a atividades criminosas, como fraude de anúncios e vazamento de dados. O Google trabalhou com a Agência Nacional de Polícia do Japão, Lumen, HUMAN Security, Plume, Synthient e TrendAI. A própria empresa avisa que essa ação é um golpe importante, mas não o fim do trabalho, já que backdoors, redes de fraude e provedores de proxy formam uma cadeia de suprimentos interligada.

A fonte não traz orientações específicas de remoção para os usuários. Quem tem um set-top box ou TV Android baratos de marca pouco conhecida deve seguir as instruções oficiais do fabricante e manter os sistemas atualizados.