Google desmantela botnet escondida em mais de 1,3 milhões de boxes Android
A XCPE vinha pré-instalada no firmware, vendia acesso a afiliados criminosos e transformava ligações domésticas em proxies residenciais.
A Google e parceiros da indústria desmantelaram a XCPE, uma porta traseira que inscreveu mais de 1,3 milhões de boxes Android numa botnet. O software chegava instalado no firmware antes da venda. Segundo o Google Threat Intelligence Group, os operadores usavam os aparelhos e as ligações domésticas para fraude publicitária, redes de proxies residenciais, extração de dados e distribuição de malware.
Uma infeção anterior ao primeiro arranque
O caso desloca o ponto de risco da aplicação descarregada para a cadeia de fornecimento. A Google afirma que a Videostrong Technology, fabricante OEM e ODM de Shenzhen, construiu e explorou intencionalmente a porta traseira para obter receitas. A atribuição é apresentada com elevada confiança, não como decisão judicial. O código estava ofuscado e carregava componentes depois do primeiro arranque, contornando os testes usados na certificação.
A botnet funcionava como plataforma
A XCPE não executava uma única campanha. A fabricante, segundo a investigação, vendia acesso a afiliados que instalavam módulos próprios. Essa arquitetura explica por que a operação atingiu mais do que os 1,3 milhões de dispositivos diretamente inscritos: a Google estima que o bloqueio dos domínios de comando e controlo de mais de uma dezena de famílias de malware retirou acesso a pelo menos 10 milhões de outros aparelhos comprometidos por canais diferentes.
O que mudou depois da operação
A Google obteve ações legais contra domínios e servidores, cortou relações com a Videostrong e proibiu a empresa, subsidiárias e afiliadas futuros de fabricar dispositivos certificados com aplicações Google pré-instaladas. A empresa diz também ter alterado o processo de revisão de fabricantes. Participaram a Agência Nacional de Polícia do Japão, Lumen, HUMAN Security, Plume, Synthient e TrendAI.
O limite de uma interrupção pontual
Desligar a infraestrutura reduz o controlo atual, mas não prova que todos os aparelhos tenham sido limpos nem elimina os canais alternativos dos afiliados. Para utilizadores, o dado decisivo é a origem pouco transparente do equipamento: boxes sem marca clara, atualizações verificáveis ou certificação mantida podem continuar expostas. O caso mostra que a segurança de um dispositivo ligado depende também de quem controla o firmware e o serviço de atualização.