Malware de fábrica infecta mais de 1,3 milhão de TV Boxes Android

Mais de 1,3 milhão de dispositivos com Android foram distribuídos com um malware instalado de fábrica, segundo a investigação que levou o Google a romper relações com a fabricante Videostrong Technology. A ameaça, chamada XCPE, atingiu TV Boxes, equipamentos de telessaúde, máquinas de karaokê e painéis digitais de publicidade.

O código malicioso formou uma rede zumbi global e apareceu em pelo menos 182 modelos diferentes. Entre os aparelhos afetados está a TV Box Mecool KTI, além de caixas com Android TV vendidas como produtos genéricos por diferentes marcas. O Brasil está entre os países atingidos, ao lado de outras nove nações.

📢 O que aconteceu?

O Google identificou que dispositivos produzidos pela Videostrong chegavam ao consumidor com o malware XCPE presente no sistema. A instalação ocorria antes mesmo de o aparelho ser usado pela primeira vez, o que permitia que o código invasor fosse carregado logo após a inicialização.

A descoberta levou o Google a cortar laços com a fabricante asiática. Em conjunto com autoridades internacionais, a empresa também participou de uma operação para encerrar a rede zumbi formada pelos aparelhos infectados.

A empresa de segurança Synthient ajudou na análise da ameaça. O levantamento encontrou ao menos 182 modelos contaminados, incluindo produtos voltados a diferentes finalidades, e não apenas conversores de televisão.

O esquema começou a aparecer em 2024. Ao longo dos anos, a ameaça foi reconstruída para usar uma arquitetura modular dividida em três estágios. Essa alteração tornou o malware mais resistente e ajudou os responsáveis a monetizar o acesso aos dispositivos por meio de aluguel.

📱 Dispositivos compatíveis

A fonte aponta os seguintes tipos de aparelhos afetados:

• 📺 TV Box Mecool KTI.
• 📦 Caixas com Android TV de marca branca, fabricadas pela Videostrong e revendidas sob outros nomes.
• 🩺 Equipamentos de telessaúde.
• 🎤 Máquinas de karaokê.
• 🖥️ Painéis digitais usados em publicidade.
• 🔢 Pelo menos 182 modelos diferentes identificados pela Synthient.

A lista não significa que todos os produtos de uma mesma marca estejam infectados. O ponto comum indicado pela investigação é a participação da Videostrong na fabricação dos dispositivos ou na base de hardware e software utilizada por eles.

💡 O que muda na prática?

Para quem usa uma TV Box afetada, o problema pode existir antes da configuração inicial. Ao ligar o aparelho pela primeira vez, o malware já pode ser carregado pelo sistema, sem depender de uma ação específica do usuário para começar a funcionar.

Na prática, uma caixa Android TV de marca conhecida pode compartilhar componentes ou software com modelos genéricos vendidos por outras empresas. Por isso, o nome estampado na embalagem não é suficiente para determinar a origem real do equipamento quando ele faz parte de uma linha de marca branca.

O caso também amplia o alcance do problema para além da sala de estar. Um equipamento de telessaúde, uma máquina de karaokê ou um painel digital pode usar uma plataforma baseada em Android e estar sujeito à mesma cadeia de fabricação comprometida.

A arquitetura em três estágios também muda a forma como a ameaça opera. Em vez de depender de um único bloco de código, o XCPE foi reconstruído para dividir suas funções, dificultando a identificação e aumentando a resistência do malware no sistema.

🤔 Qual o impacto para o consumidor?

O principal impacto é a perda de confiança na origem do software instalado no aparelho. Mesmo que a caixa seja nova e nunca tenha sido usada, a infecção pode estar presente desde a fábrica, antes de qualquer configuração feita pelo comprador.

Usuários no Brasil estão entre os afetados pela distribuição internacional. A fonte informa que o esquema alcançou o país e outras nove nações, mas não detalha quantos dispositivos infectados foram identificados em cada território.

Também existe um impacto sobre o ecossistema Android. O episódio mostra que a segurança não depende somente do sistema desenvolvido pelo Google, mas também das práticas adotadas por fabricantes, integradores e revendedores que utilizam versões personalizadas ou genéricas da plataforma.

Como o XCPE formou uma rede zumbi global, os aparelhos contaminados foram integrados a uma estrutura coordenada. A fonte não detalha todas as ações realizadas pelo malware contra cada dispositivo, mas informa que o acesso era alugado como parte do modelo de monetização do esquema.

🔍 Explicação principal

O XCPE explorava uma falha no sistema das caixas Android para inserir e carregar seu código logo depois da primeira inicialização. Isso significa que a ameaça estava vinculada à forma como o software do dispositivo era preparado e entregue, e não apenas ao comportamento posterior do usuário.

A investigação identificou uma evolução técnica ao longo do tempo. A ameaça surgiu em 2024 e passou por reconstruções que resultaram em uma arquitetura modular de três estágios. Essa organização deixou o malware mais resistente e facilitou a operação da rede formada pelos dispositivos.

A Videostrong aparece no centro do caso porque seus aparelhos e plataformas foram associados à infecção. O Google encerrou o relacionamento com a empresa depois de descobrir o esquema. A análise conduzida com apoio da Synthient encontrou pelo menos 182 modelos atingidos em categorias variadas.

A operação conjunta com autoridades internacionais encerrou a rede zumbi global mencionada na investigação. Ainda assim, a extensão do caso é relevante porque mais de 1,3 milhão de aparelhos foram distribuídos com o código malicioso de fábrica.

⚠️ Pontos de atenção

• A infecção podia estar presente antes do primeiro uso do aparelho.
• A ameaça não ficou restrita a uma única TV Box ou a uma única marca comercial.
• Produtos de marca branca podem ser revendidos com nomes diferentes dos usados pelo fabricante original.
• A Synthient identificou pelo menos 182 modelos infectados.
• O XCPE também apareceu em dispositivos de telessaúde, máquinas de karaokê e painéis digitais.
• O malware utilizava uma arquitetura modular em três estágios.
• O esquema alcançou o Brasil e outros nove países.
• A fonte não apresenta uma relação completa de marcas, números de série ou versões específicas do Android afetadas.

🛠️ Soluções possíveis

A fonte informa que o Google, com autoridades internacionais, encerrou a rede zumbi associada ao XCPE. Ela não apresenta um procedimento individual para remover o malware de cada modelo nem confirma uma atualização específica para todos os aparelhos afetados.

Com base apenas nas medidas descritas na investigação, o quadro pode ser organizado assim:

• ✅ Google: romper relações com a Videostrong após a descoberta do esquema.
• ✅ Google e autoridades internacionais: atuar conjuntamente para encerrar a rede zumbi global.
• ✅ Investigadores: mapear os dispositivos afetados com apoio da Synthient.
• ⚠️ Usuários: a fonte não informa uma solução universal, uma atualização abrangente ou um processo confirmado de remoção para as TV Boxes contaminadas.
• ⚠️ Modelos afetados: a fonte não fornece uma lista completa de identificadores que permita confirmar todos os aparelhos individualmente.

❓ Perguntas frequentes

O que é o XCPE?

É o malware encontrado instalado de fábrica em dispositivos produzidos pela Videostrong. Ele explorava uma falha do sistema para carregar o código invasor logo após a primeira inicialização.

Quantos aparelhos foram afetados?

Mais de 1,3 milhão de dispositivos chegaram ao mercado com a ameaça, de acordo com a investigação citada na fonte.

Quais aparelhos foram atingidos?

A lista inclui a TV Box Mecool KTI, caixas com Android TV de marca branca, equipamentos de telessaúde, máquinas de karaokê e painéis digitais de publicidade. Ao menos 182 modelos foram identificados.

O Brasil foi afetado?

Sim. O Brasil está entre os países atingidos pelo esquema global. A fonte também informa a presença da ameaça em outros nove países.

O malware dependia de uma instalação feita pelo usuário?

Não. O código era instalado de fábrica e podia ser carregado logo depois da primeira inicialização do aparelho.

A ameaça foi encerrada?

A rede zumbi global formada pelo malware foi encerrada em uma operação conjunta do Google com autoridades internacionais. A fonte, porém, não detalha uma solução individual para cada aparelho.

Por que o Google rompeu relações com a fabricante?

O Google cortou laços com a Videostrong Technology depois de descobrir que dispositivos da empresa eram distribuídos com o XCPE instalado de fábrica.

✅ Conclusão

O caso envolvendo o XCPE revela um comprometimento em escala internacional dentro da cadeia de produção de dispositivos Android. Mais de 1,3 milhão de aparelhos chegaram aos usuários com o malware instalado, incluindo TV Boxes, produtos de marca branca e equipamentos de outras categorias.

A ameaça atingiu o Brasil e pelo menos outros nove países, foi encontrada em 182 modelos e evoluiu para uma arquitetura modular em três estágios. Embora a rede zumbi tenha sido encerrada em uma ação conjunta, a fonte não informa uma solução universal para todos os equipamentos.

Para o ecossistema Android, o episódio reforça a importância de observar não apenas a marca visível do produto, mas também sua origem de fabricação e a forma como o sistema é preparado antes da venda.