Michael JohnsonQuem possui uma TV box Android com firmware da fabricante Videostrong deve verificar a procedência do dispositivo: em 2 de novembro, o Google informou que, junto com parceiros, interrompeu o funcionamento do botnet XCPE, que incluía mais de 1,3 milhão de TVs box. Como parte da operação, o Google buscou desligar servidores de controle e domínios maliciosos, e a Videostrong foi proibida de fabricar dispositivos Android certificados com aplicativos do Google pré-instalados. O relato da operação pelo Google descreve a medida como uma resposta a um backdoor incorporado ao firmware de vários modelos.
O que foi desativado
Segundo o Google Threat Intelligence Group, o XCPE usava o componente x.cpe, incorporado ao firmware. Ele se comunicava com um servidor de controle, recebia comandos e baixava módulos adicionais. O Google informou que tomou medidas legais contra domínios e servidores usados pela Videostrong para controlar o botnet e instalar componentes maliciosos, além de domínios de controle de mais de uma dúzia de famílias de malware.
A operação contou com a participação da Agência Nacional de Polícia do Japão, da Lumen, da HUMAN Security, da Plume, da Synthient e da TrendAI. O Google também declarou que proibiu a Videostrong e suas futuras subsidiárias e afiliadas de fabricar e vender dispositivos Android certificados e de fornecer software a outros fabricantes certificados. A empresa informou que fez mudanças na verificação da integridade do firmware do Android TV.
A expressão “interrompeu o funcionamento” é mais precisa do que prometer limpar instantaneamente todos os televisores. O Google descreve a desativação da infraestrutura de controle e dos domínios relacionados; a publicação não informa que o firmware de todas as TVs box já vendidas tenha sido corrigido remotamente. Desligar os servidores priva os operadores de importantes canais de controle e distribuição de módulos, mas não reescreve, por si só, o software instalado.
Por que a infecção resistia à reinicialização
O componente malicioso ficava na partição de sistema do firmware. O Google afirma que o x.cpe era executado com privilégios de sistema e podia restaurar sua cópia após uma reinicialização se o usuário removesse o aplicativo da partição de dados comum. Por isso, tentar localizar e remover um aplicativo suspeito nas configurações do Android não garantia a limpeza da TV box.
O backdoor mantinha uma conexão persistente com a infraestrutura de controle e podia receber comandos para instalar aplicativos de forma oculta, iniciar um shell e coletar dados. O Google informou ter observado capturas de tela, inserção de comandos, transmissão de informações sobre contas e o sistema, além da execução de scripts. Os módulos baixados transformavam os dispositivos em nós de redes de proxies residenciais ou os usavam para fraude publicitária; alguns módulos instalavam malware adicional.
Isso transforma uma TV box comum em parte da infraestrutura de rede de terceiros. O tráfego que passa pela conexão doméstica pode parecer tráfego do próprio usuário, embora o dispositivo esteja, na prática, executando comandos de um operador remoto. Entre os objetivos identificados, o Google também mencionou impressões publicitárias fraudulentas e transmissão de dados.
O que fazer se você possui uma TV box
Primeiro, verifique a marca e o modelo exatos do dispositivo, o fabricante do firmware e as informações de certificação. O nome da marca, por si só, não confirma uma infecção: o Google menciona diversos modelos e marcas que receberam software da Videostrong, portanto, a procedência do dispositivo e seu firmware são decisivos. Confira as informações na lista atualizada de parceiros oficiais do Android TV e nos documentos do vendedor ou fabricante.
Se não for possível identificar a procedência do dispositivo ou se ele fizer parte do ecossistema afetado, desconecte a TV box da rede e peça ao vendedor ou fabricante instruções confirmadas para substituí-la ou reinstalar o firmware. Não considere a restauração das configurações de fábrica e a remoção de aplicativos uma solução suficiente para um componente que, segundo a descrição do Google, fica no firmware do sistema e é restaurado após a reinicialização. Não instale imagens de firmware aleatórias encontradas em fóruns: uma imagem incorreta pode inutilizar o aparelho ou criar novos riscos.
Se você usou a TV box para acessar contas ou exibir informações pessoais, verifique a atividade dessas contas em outro dispositivo confiável e troque as senhas se houver sinais de acesso por terceiros. Essa medida protege as contas: ela não limpa a própria TV box, portanto, o destino do dispositivo deve ser decidido separadamente.
O que resta após a operação
O Google associa o XCPE à instalação deliberada e ao uso comercial do backdoor da Videostrong. A empresa também estima que a desativação dos domínios de controle dos módulos relacionados possa impedir o acesso a eles por mais de 10 milhões de dispositivos comprometidos fora do XCPE. Essa é uma estimativa do Google sobre o possível efeito das medidas contra a infraestrutura compartilhada, não um número confirmado de dispositivos limpos.
Para os usuários, a principal conclusão prática é simples: se a TV box veio de uma fonte desconhecida ou usa firmware da Videostrong, remover aplicativos e reiniciar não oferece uma confirmação confiável de que está limpa. Verificar o modelo e a procedência e, em seguida, substituir o dispositivo ou restaurar o firmware seguindo instruções confirmadas é uma opção mais fundamentada do que tentar remover manualmente um único componente visível.
