TV boxes infectadas de fábrica usavam internet de brasileiros para fraudes

Brasil foi o segundo país com mais aparelhos infectados; Google e empresas de segurança identificaram 1,47 milhão de dispositivos no mundo. O post TV boxes infectadas de fábrica usavam internet de brasileiros para fraudes apareceu primeiro em TeleSíntese.

TV boxes infectadas ainda durante a fabricação foram utilizadas para explorar conexões de internet de consumidores brasileiros sem seu conhecimento. Os equipamentos integravam a botnet XCPE, uma rede de dispositivos controlados remotamente que permitia comercializar o acesso a endereços IP residenciais, instalar programas maliciosos e executar fraudes publicitárias. O Brasil foi o segundo país com maior quantidade de aparelhos comprometidos, atrás apenas da Malásia. A operação foi identificada por pesquisadores do Google Threat Intelligence Group e da TrendAI. A investigação encontrou 1.472.554 dispositivos infectados, distribuídos por mais de 170 países, entre junho e outubro de 2026. Segundo a TrendAI, os equipamentos comprometidos pertenciam a 206 modelos diferentes. Além de Brasil e Malásia, Iraque, México e Taiwan estavam entre os países com maior concentração de infecções. O Google atribuiu a criação e a operação da infraestrutura maliciosa à fabricante chinesa Videostrong Technology, responsável pelo desenvolvimento de equipamentos Android comercializados sob diferentes marcas. De acordo com a investigação, o software malicioso era incorporado ao sistema dos aparelhos antes da venda. Após a ativação, o programa podia instalar componentes adicionais e receber comandos remotos sem autorização do proprietário. Conexões residenciais eram utilizadas por terceiros Uma das principais atividades da botnet XCPE era transformar os equipamentos infectados em pontos de saída de redes de proxies residenciais. Nesse modelo, terceiros podiam contratar acesso a endereços IP vinculados às conexões de banda larga dos consumidores. O tráfego gerado pelos contratantes era encaminhado pela internet dos aparelhos comprometidos, fazendo com que os acessos parecessem originados de usuários residenciais. Esse tipo de infraestrutura pode ser utilizado para contornar mecanismos de verificação de localização, reputação de endereços IP e controles de segurança empregados por plataformas digitais. A TrendAI identificou aproximadamente 1,33 milhão de dispositivos que receberam módulos destinados à exploração comercial das conexões e a outras atividades, incluindo fraudes publicitárias. A investigação também registrou 3.849.226 endereços IP residenciais e móveis distintos utilizados pela operação entre junho e outubro. Segundo os pesquisadores, a infraestrutura disponibilizava, em um dia típico, aproximadamente 182 mil endereços IP residenciais para utilização por terceiros. O maior volume diário observado chegou a 366.562 endereços. Além da comercialização de acesso às conexões, a operação utilizava componentes destinados à geração de tráfego publicitário fraudulento. As atividades podiam ocorrer simultaneamente, enquanto os equipamentos continuavam funcionando para reprodução de conteúdo. Malware era incorporado ao sistema dos aparelhos A investigação identificou um componente denominado x.cpe, instalado no firmware dos dispositivos Android. O programa possuía permissões de sistema e estabelecia comunicação com servidores de comando e controle. A partir dessa estrutura, os operadores da botnet podiam instalar aplicativos, executar instruções e modificar configurações dos equipamentos comprometidos. Segundo o Google, a fabricante utilizava mecanismos destinados a ocultar a presença do código malicioso durante procedimentos de verificação de segurança. Parte dos componentes empregados nas atividades fraudulentas era instalada somente depois da primeira inicialização dos aparelhos. A TrendAI também identificou funcionalidades para coletar informações dos dispositivos, reconhecer características das redes locais e interferir em mecanismos de proteção do Android. Como o componente inicial fazia parte do software do sistema, a remoção da infecção não poderia ser realizada simplesmente pela desinstalação de um aplicativo convencional. Google rompe relação com fabricante A desarticulação da botnet envolveu o Google, a TrendAI, a Lumen, a HUMAN Security, a Plume, a Synthient e a Agência Nacional de Polícia do Japão. As organizações adotaram medidas legais e técnicas para interromper o funcionamento de servidores e domínios utilizados no controle remoto dos equipamentos e na distribuição de programas maliciosos. O Google também anunciou o encerramento de seu relacionamento comercial com a Videostrong. A empresa informou que a fabricante, suas subsidiárias e afiliadas foram impedidas de produzir novos equipamentos Android certificados ou fornecer software para outros fabricantes certificados. A companhia declarou ainda que modificou seus procedimentos de verificação da integridade do firmware para reduzir o risco de instalação de programas maliciosos durante a fabricação. Segundo a TrendAI, os componentes comprometidos podem permanecer nos sistemas dos dispositivos. Sua remoção depende de medidas de atualização ou substituição dos equipamentos e de mecanismos de proteção disponibilizados pelos responsáveis pela plataforma. Anatel já identificou exploração de TV boxes no Brasil No Brasil, a Agência Nacional de Telecomunicações (Anatel) já havia identificado o uso de equipamentos de TV box não homologados em atividades semelhantes. Em agosto de 2025, o Brasil concentrava 37,6% dos casos mundiais de infecção pela botnet BadBox 2.0 , segundo levantamento da Anatel. Na ocasião, a agência identificou mais de 1,8 milhão de dispositivos comprometidos no país, principalmente TV boxes não homologadas. Entre as funcionalidades identificadas estavam a utilização não autorizada das conexões dos consumidores como proxies residenciais e a comunicação com servidores externos responsáveis pelo controle dos dispositivos. Em maio de 2026, a Anatel lançou um painel público com informações sobre bloqueios administrativos relacionados a TV boxes ilegais. A iniciativa integra as ações de fiscalização de equipamentos não homologados e de proteção das redes de telecomunicações. Infecção pode permanecer nos aparelhos A TrendAI alerta que o encerramento da infraestrutura utilizada pelos operadores da botnet não significa que os dispositivos tenham sido recuperados. Equipamentos com componentes maliciosos incorporados ao firmware podem continuar comprometidos até que recebam uma atualização capaz de remover o código ou sejam substituídos. Para os consumidores, a recomendação dos pesquisadores é evitar aparelhos sem certificação ou identificação confiável do fabricante e verificar a procedência dos equipamentos antes da instalação. O caso também evidencia um risco para os provedores de banda larga: equipamentos conectados às redes dos assinantes podem utilizar a capacidade de transmissão e os endereços IP residenciais para atividades não autorizadas, mesmo quando continuam funcionando aparentemente de maneira normal. O post TV boxes infectadas de fábrica usavam internet de brasileiros para fraudes apareceu primeiro em TeleSíntese .