O Google, em parceria com diversas empresas do setor de tecnologia, anunciou em 2 de novembro de 2026 a desarticulação de uma botnet que envolvia mais de 1,3 milhão de decodificadores Android TV infectados por um malware que utilizava as conexões de internet dos usuários para revenda não autorizada a terceiros, além de permitir fraudes publicitárias. A operação deve também interromper o acesso da botnet a pelo menos 10 milhões de outros dispositivos comprometidos, incluindo produtos da Internet das Coisas (IoT) como equipamentos médicos baseados em Android e máquinas de karaokê.
Origem e funcionamento da botnet XCPE
Conforme relatório do Google Threat Intelligence Group (GTIG), a botnet, batizada de “XCPE” – nome ligado a um dos principais componentes maliciosos no código –, foi instalada em dispositivos fabricados pela Videostrong Technology Co., empresa chinesa de decodificadores de TV. Segundo o GTIG, a Videostrong inseriu deliberadamente o software malicioso nos aparelhos, convertendo-os em pontos de revenda de proxies residenciais, serviços que fornecem endereços IP de usuários para anonimização de tráfego ou mascaramento de localização.
O malware torna disponível o endereço de internet do usuário para aluguel, sem seu conhecimento ou consentimento, à rede criminosa que atua nesses serviços de proxy. Esse esquema está associado a atividades maliciosas diversas, como apropriação de contas, fraudes em publicidade digital e coleta massiva de dados para projetos de inteligência artificial. O Google destacou que a Videostrong violou a confiança dos usuários e representou risco grave ao disponibilizar os dispositivos como canais para criminosos.
Distração e controle da botnet
O Google revelou que rompeu relações com a Videostrong e tomou medidas jurídicas para derrubar os domínios e servidores usados para o controle da botnet e instalação de malware adicional. Os aparelhos infetados contam principalmente decodificadores Android TV, mas há evidências de que o mesmo código malicioso se espalhou por outros dispositivos IoT baseados em Android, como equipamentos de telessaúde, máquinas de karaokê e sistemas digitais de sinalização.
O Google informou que adota testes rigorosos de compatibilidade e segurança para dispositivos Android, mas no caso da Videostrong, o malware foi instalado imediatamente após a ativação inicial do aparelho, explorando vulnerabilidades que já foram corrigidas pela empresa.
Provedores de proxy residencial envolvidos
Entre os fornecedores de proxy residencial cujos kits de desenvolvimento de software (SDKs) foram instalados nos dispositivos infectados está o AppSalt, também conhecido como Honeygain, da empresa Oxylabs, sediada em Vilnius, Lituânia. A Oxylabs mudou-se para a marca Source em outubro de 2026, após um investimento de US$ 130 milhões, embora não tenha respondido a pedidos de comentário.
Outro nome ligado à botnet é a NetNut, empresa israelense de proxies residenciais que enfrentou ações do FBI em julho de 2026 por operar outra botnet chamada Popa, semelhante à XCPE, que utilizava decodificadores para hospedar proxies residenciais ilícitos. O relatório da GTIG também cita provedores como EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb e GaGaNode dentre os envolvidos.
Colaboração do setor e impacto maior
A desarticulação da botnet foi possível graças à atuação conjunta do Google, parceiros do setor e empresas especialistas como a Synthient, startup dedicada à monitoria de provedores de proxy. Fundada por Ben Brundage, a Synthient já havia detectado e ajudado a mitigar a botnet Kimwolf, que atacava dispositivos Android em escala global, causando picos recordes de ataques DDoS.
Relatórios recentes da Synthient indicam que outras marcas de decodificadores também vinham infectadas com variações do malware da Videostrong, como o popular dispositivo MECOOL, fabricado pela Skyworth Technology, empresa chinesa de capital aberto. A vulnerabilidade explorada permitia instalações do app AppSalt/Honeygain e outros componentes de proxy maliciosos sem o conhecimento dos consumidores.
Publicidade enganosa e alcance da botnet
Decodificadores Android TV comprometidos, como os MECOOL e Superbox TV, ganharam popularidade graças a marketing viral, inclusive em redes sociais como TikTok e vídeos no YouTube. Por exemplo, em 2023, o canal Linux Tech Tips, com quase 17 milhões de inscritos, mencionou o MECOOL, elevando sua visibilidade — embora depois tenha removido links e adicionado alertas sobre fraudes ligadas ao produto.
O GTIG estima que a remoção da botnet XCPE cortará o acesso a cerca de 10 milhões de dispositivos afetados, pois as afiliadas ligadas ao malware distribuíam seus softwares via vários canais além do XCPE. Ben Brundage da Synthient considera essa estimativa conservadora, apontando que o total de dispositivos comprometidos deve ser muito maior, descrevendo a operação como a maior já vista contra decodificadores Android TV com backdoor.
