O Google derrubou a infraestrutura de uma botnet que reunia mais de 1,3 milhão de aparelhos Android, em sua maioria TV boxes, e baniu a fabricante chinesa Videostrong do ecossistema de dispositivos certificados. A empresa afirma ter “alta confiança” de que o código malicioso foi colocado de propósito no firmware e usado para vender acesso a criminosos.
O Brasil aparece entre os países com mais infecções, ao lado de Malásia, Iraque, México e Taiwan, segundo o site The Hacker News. A notícia importa para quem usa caixinhas baratas de streaming na sala de casa.
Índice
COMO FUNCIONAVA O BACKDOOR
O programa se chama x.cpe e vinha embutido no sistema dos aparelhos, rodando como aplicativo com privilégios de sistema. Depois de ligado, ele se conectava a servidores de comando e ficava à espera de ordens. O Google relata que o código desativava as verificações do Play Protect, o que permitia instalar aplicativos sem aviso ao usuário.
Os operadores podiam executar comandos, capturar a tela, mapear a rede local e abrir acessos remotos. A maior parte dos módulos extras transformava o aparelho em proxy residencial, uma espécie de ponte que permite a terceiros navegar usando o IP da casa da vítima. Outros módulos geravam visualizações falsas de anúncios.
A TESE DE QUE FOI DE PROPÓSITO
O ponto mais grave do caso é a origem. O Google diz não acreditar em erro nem em funcionário desonesto. Segundo a empresa, a Videostrong usou técnicas de ofuscação para explorar uma brecha nos testes de compatibilidade e só carregava o código malicioso depois da primeira inicialização.
Em nota citada pela imprensa especializada, o Google definiu a situação como uma quebra de confiança inaceitável, quando um fabricante infecta de forma intencional os próprios clientes. Os pesquisadores também apontam indícios de autoria, como uma conta no GitHub com o nome yf-videostrong e um documento assinado pelo diretor de pesquisa e desenvolvimento da empresa, encontrado em um servidor da botnet.
O QUE O GOOGLE FEZ
A empresa usou ação judicial para derrubar domínios e servidores que controlavam a rede, além dos domínios de comando de mais de uma dúzia de famílias de malware. O trabalho teve a ajuda da Polícia Nacional do Japão, da Lumen, da HUMAN Security, da Plume, da Synthient e da TrendAI.
A Videostrong, incluindo futuras subsidiárias e afiliadas, ficou proibida de fabricar ou vender dispositivos Android certificados e de fornecer software a fabricantes certificados. O Google também mudou seu processo de revisão e está reforçando a checagem de firmware em aparelhos Android TV certificados. A previsão é que a ação corte o acesso dos criminosos a pelo menos 10 milhões de outros dispositivos infectados.
OS NÚMEROS DA INFECÇÃO
A TrendAI contou 1.472.554 aparelhos infectados, em 206 modelos diferentes, entre 3 de junho e 1 de outubro. Para a consultoria, o total real é no mínimo esse. Estados Unidos, Alemanha, Reino Unido, Austrália e Canadá tiveram cada um entre 26 mil e 42 mil aparelhos.
O backdoor também apareceu em equipamentos de telessaúde, máquinas de karaokê e painéis de sinalização digital, o que mostra que o problema vai além da TV de casa. A fonte consultada não traz a contagem de aparelhos brasileiros.
O QUE FAZER SE VOCÊ TEM UMA TV BOX
A limpeza é difícil. O backdoor volta a se instalar a cada reinicialização e é assinado com a chave do fabricante, o que exige ação do próprio fornecedor, proteção da plataforma ou troca do aparelho. A Plume recomenda restaurar as configurações de fábrica, mas não confirma que isso remove o x.cpe. A Synthient aconselha descartar os equipamentos.
Na prática, vale desconfiar de caixas muito baratas, de marca desconhecida ou vendidas sem nota fiscal. Em 2 de novembro, o site da Videostrong ainda listava produtos anunciados como Android TV certificados.
PERGUNTAS FREQUENTES
O que é uma botnet?
É uma rede de aparelhos infectados que respondem a um comando central, usada para fraudes, ataques e revenda de conexões.
Minha TV box pode estar infectada?
Pode, se for de um dos 206 modelos identificados ou de marca pouco conhecida. O Google não publicou uma lista simples para o consumidor.
Redefinir o aparelho resolve?
Não há garantia. A Plume sugere a restauração de fábrica, mas outra empresa recomenda descartar o equipamento.
O ataque rouba senhas?
Os operadores podiam copiar dados de contas e enviar comandos de teclado, segundo o Google, além de usar a conexão da casa como proxy.
