Android Geek
A Google confirmou que cortou relações com a Videostrong, fabricante de boxes Android TV certificadas, depois de descobrir uma backdoor integrada nos equipamentos. O caso distingue-se pela origem do problema: não se trata de uma aplicação maliciosa que o utilizador instalou por descuido, mas de software escondido no próprio sistema, colocado lá por quem fabricou o dispositivo.
A informação foi avançada pelo 9to5Google, que cita uma publicação da Google. A empresa classifica a situação como uma quebra de confiança inaceitável e admite, ainda que de forma indirecta, que o esquema passou pelas suas próprias verificações.
Segundo a tecnológica, o software malicioso estava integrado diretamente em vários modelos e marcas ao longo de vários anos. Havia infraestrutura dedicada e configurações em constante evolução para escapar à deteção e gerir os afiliados do esquema.
A Google afirma que não se tratou de um caso isolado de um funcionário desonesto nem de um simples erro de desenvolvimento. A Videostrong terá construído a backdoor para vender acesso, incluindo a distribuição de malware.
A Google tomou medidas legais para bloquear os domínios e servidores usados para controlar a botnet XCPE e os módulos de malware associados. A empresa foi ainda banida de vender dispositivos Android certificados e de fornecer software a outros fabricantes certificados.
O detalhe técnico mais relevante está na forma como o código escapou aos testes. De acordo com a Google, os responsáveis usaram técnicas de ofuscação para explorar uma falha nos processos de verificação e carregar código malicioso depois do primeiro arranque do dispositivo.
A box podia parecer limpa quando foi avaliada e passar a comportar-se de forma diferente já em casa do utilizador. O selo de certificação Android TV ou Google TV existe precisamente para dar garantias mínimas: acesso à Play Store, atualizações, compatibilidade com serviços e, em teoria, um sistema sem surpresas.
Este caso mostra que a certificação não é uma vacina. É um processo de revisão, e os processos de revisão têm limites.
A Google diz que a remoção dos domínios de comando e controlo corta o acesso a pelo menos 10 milhões de dispositivos comprometidos adicionais. Isto sugere que o alcance do esquema era grande, embora a empresa não apresente números sobre quantas boxes foram efetivamente infetadas ou vendidas.
Para o leitor português, a consequência prática é simples: quem comprou uma box de marca pouco conhecida, muitas vezes através de marketplaces online, deve tratar o equipamento com desconfiança acrescida. Isto não significa que todas as boxes baratas sejam maliciosas, nem que todas as marcas afetadas sejam fáceis de identificar.
Significa que o preço baixo e a ausência de suporte claro são sinais a pesar. Quem quiser reforçar a proteção do lado do utilizador pode começar pelas ferramentas de segurança integradas no Android, como explicamos na análise à proteção avançada do Google Play, ainda que estas atuem sobretudo sobre aplicações e não sobre software embutido no firmware.
A Synthient, citada pelo The Hacker News, compilou uma lista de dispositivos potencialmente afetados, com destaque para a Mecool, marca que no passado fez algumas boxes Android TV e Google TV conhecidas. Há também rumores de que a Mecool estará a encerrar atividade, o que tornaria ainda mais difícil obter suporte ou atualizações.
A Google não detalha na fonte quais os modelos concretos nem quantas unidades estarão em circulação em Portugal. Esta é uma das limitações do anúncio: sem uma lista oficial e acessível, o utilizador comum fica sem saber se o seu equipamento pertence ao lote problemático.
A empresa promete atualizar o processo de revisão para travar comportamentos deste tipo. É uma promessa necessária, mas chega depois do problema.
A questão que fica é saber que verificações adicionais serão feitas e se passam a cobrir o comportamento do dispositivo após o primeiro arranque, precisamente o ponto que foi explorado. O caso tem uma leitura mais ampla.
O mercado de boxes Android TV e Google TV é povoado por fabricantes pequenos, muitos deles com presença limitada e canais de suporte frágeis. A certificação da Google era um dos poucos filtros disponíveis para o consumidor.
Quando esse filtro falha, a confiança no ecossistema inteiro ressente-se. A reação da Google, com ação legal e banimento, é firme.
Mas a eficácia depende de o utilizador conseguir identificar-se como afetado e de existir uma forma prática de limpar ou substituir o equipamento. A fonte não esclarece se haverá atualizações de segurança para os dispositivos já vendidos, nem se a Google notificará os proprietários.
Para quem está a pensar comprar uma box, a recomendação genérica mantém-se: preferir marcas com histórico de atualizações e suporte em Portugal, desconfiar de preços anormalmente baixos e evitar equipamentos sem referência clara ao fabricante. Nada disto é garantia absoluta, mas reduz a exposição.
Ainda assim, convém recordar que o malware em Android também circula por outras vias, como mostram os casos de apps maliciosas que abrem portas traseiras no telemóvel. Ficam dois pontos por esclarecer: a lista oficial de dispositivos afetados e o alcance real das atualizações ao processo de certificação.
Até lá, o caso serve de aviso: a segurança de uma box começa muito antes de o utilizador a ligar à televisão. Leiam as últimas notícias do mundo da tecnologia no Google News , Facebook e X (ex Twitter) .
