Tenho um amigo que jura a pés juntos que a box Android que comprou por 30 euros “faz exatamente o mesmo” que uma Chromecast ou uma Fire TV. Durante anos, a minha resposta foi um encolher de ombros. A partir de hoje, tenho um argumento bem mais convincente. A Google revelou que desmantelou a botnet XCPE, uma rede com mais de 1,3 milhões de boxes Android TV, e o mais grave nem é o número: segundo a empresa, o malware foi lá posto de propósito pelo próprio fabricante.
Num relatório publicado a 2 de novembro no blog do Google Threat Intelligence Group, a Google diz ter “elevada confiança” de que a backdoor foi desenvolvida e operada pela Videostrong Technology, uma fabricante chinesa de Shenzhen que produz boxes baratas vendidas sob várias marcas. A investigação da Synthient, feita em parceria com a Google e outras empresas de segurança, liga a Videostrong às boxes MECOOL, uma marca que anda pelos marketplaces online desde 2020.
XCPE: uma porta das traseiras que vem de fábrica
O esquema era tão simples quanto descarado. A backdoor vinha instalada no firmware, com privilégios de sistema, e escapava aos testes de certificação da Google porque só carregava o código malicioso depois do primeiro arranque. Depois disso, a Videostrong vendia o acesso aos aparelhos a grupos criminosos, que lá instalavam os seus próprios módulos. Segundo a Google, as boxes infetadas eram usadas para:
- Fraude publicitária: cliques e visualizações de anúncios gerados sem o dono saber.
- Proxies residenciais: a ligação à internet da vossa casa passava a servir de ponte para tráfego de terceiros.
- Mais malware: instalação silenciosa de outras aplicações, comandos remotos e até capturas de ecrã.
Para não levantar ondas, o malware desligava o Google Play Protect e, se fosse desinstalado, voltava a instalar-se sozinho no arranque seguinte. A maioria dos aparelhos eram boxes Android TV, mas a Google encontrou também máquinas de karaoke, equipamentos de telemedicina e ecrãs de publicidade infetados.
Videostrong banida e 10 milhões de aparelhos cortados
A Google avançou com ações legais para deitar abaixo os servidores que controlavam a botnet, cortou relações com a Videostrong e baniu a empresa, e futuras subsidiárias, de fabricar aparelhos Android certificados. Ao derrubar também os servidores de mais de uma dúzia de famílias de malware que usavam esta backdoor, a empresa estima ter cortado o acesso a pelo menos 10 milhões de aparelhos adicionais, de vários fabricantes.
Segundo a CyberScoop, a botnet estava espalhada por mais de 170 países, com mais vítimas na Malásia, no Brasil, no Iraque, no México e em Taiwan. Os ciberataques têm andado por todo o lado nas últimas semanas, desde o ciberataque aos frigoríficos de supermercados que chegou ao Intermarché em Portugal até ao acesso não autorizado aos sistemas da Warhorse Studios, mas aqui a ameaça entrava pela porta da frente, dentro da caixa.
O que fazer se tiverem uma destas boxes
Há um senão importante: como explica o BleepingComputer, o desmantelamento corta a comunicação com os criminosos, mas o malware continua dentro dos aparelhos. Para o remover é preciso instalar um firmware limpo, ou então desligar a box da internet. Na prática, para a maioria das pessoas, a solução passa por trocar de aparelho.
A Google deixa ainda alguns conselhos: comprar boxes apenas a fabricantes de confiança (a lista de parceiros está no site oficial do Android TV), confirmar que o Google Play Protect está ativo e desconfiar de qualquer aplicação que prometa dinheiro em troca da “largura de banda que não usam”. Fica a lição de sempre: quando é barato demais, alguém está a pagar a diferença. Neste caso, éramos nós.
