VITRINE DOS GOLPES DIGITAIS
O Google informou que identificou e desmantelou uma operação criminosa que comercializava aparelhos de TV boxes infectados diretamente de fábrica. Por meio desses dispositivos comprometidos, a empresa chinesa Videostrong Technology Co. vendia o acesso e o controle dos equipamentos no mercado clandestino. Segundo a gigante de tecnologia, mais de 1,3 milhão de aparelhos foram infectados.
Entre os mais de 170 países afetados, o Brasil aparece em segundo lugar, com aproximadamente 150 mil dispositivos, atrás apenas da Malásia, com 300 mil. O levantamento é da TrendAI, uma das parceiras da operação. A investigação identificou 206 modelos diferentes de aparelhos e contabilizou 1.472.554 dispositivos infectados durante o monitoramento, entre junho e outubro deste ano.
Aparelhos eram usados em atividades criminosas
Infectados pelo malware XCPE, os aparelhos podiam ser utilizados por criminosos para executar atividades remotamente, exibir anúncios fraudulentos e instalar outros códigos e programas maliciosos. A estrutura também permitia emitir comandos, capturar telas e extrair informações dos equipamentos sem o conhecimento dos proprietários.
Durante o monitoramento, a TrendAI identificou mais de 3,8 milhões de endereços IP residenciais distintos que faziam parte da rede criminosa. Na prática, parte dos aparelhos infectados funcionava como intermediária de conexão, permitindo que terceiros utilizassem a internet dos proprietários para acessar outros serviços.
Esse mecanismo, chamado de “proxy residencial”, possibilitava que criminosos realizassem atividades na internet se passando por consumidores comuns, dificultando a identificação de comportamentos suspeitos por sistemas de segurança de bancos, lojas e outras plataformas.
Remoção do malware depende dos fabricantes
Os servidores que conectavam os aparelhos à infraestrutura criminosa foram desativados após a operação. No entanto, a interrupção dessa comunicação não significa que o programa malicioso tenha sido removido dos dispositivos.
Segundo a TrendAI, o malware funciona como um aplicativo de sistema, assinado com a chave do fabricante, o que impede sua desinstalação pelos proprietários. Por isso, a limpeza depende de uma ação do fornecedor, de mecanismos de proteção da plataforma ou da substituição do equipamento.
Empresa orquestrou todo o golpe
Na avaliação do Google, a atuação da empresa chinesa foi planejada intencionalmente, desde o desenvolvimento até a comercialização dos dispositivos. Desde o fim de 2024, os responsáveis criaram mecanismos para burlar as verificações de segurança realizadas antes da venda dos aparelhos. O código malicioso era incorporado ao firmware e podia ser reinstalado automaticamente após a reinicialização do equipamento.
Diante das vulnerabilidades identificadas, o Google informou que atualizará seus processos de revisão para evitar casos semelhantes. A empresa também anunciou o rompimento de vínculos com a Videostrong e o banimento da fabricante, de suas futuras afiliadas e subsidiárias da fabricação e comercialização de dispositivos Android certificados.
“Identificamos esse software malicioso incorporado diretamente a diferentes modelos e marcas de dispositivos ao longo de vários anos, com o suporte de uma infraestrutura própria e configurações em constante evolução para evitar a detecção e gerenciar seus afiliados. Acreditamos que essa campanha não foi resultado de uma ação isolada de um funcionário ou de uma falha no processo de desenvolvimento”, afirmou o Google.