Clickl Petroleoegas
Milhões de pessoas utilizam pequenas caixas conectadas à televisão para assistir a filmes, séries e outros conteúdos pela internet. O que muitos consumidores não imaginam é que um desses aparelhos pode funcionar normalmente e, ao mesmo tempo, executar atividades criminosas sem que ninguém perceba.
Foi justamente esse o cenário identificado em uma investigação internacional que levou o Google e a polícia japonesa a derrubarem a infraestrutura de uma rede com mais de 1,3 milhão de TV boxes infectadas. Os dispositivos estavam espalhados por mais de 200 países, incluindo o Brasil, e haviam sido incorporados a uma rede criminosa conhecida como XCPE.
Por meio dela, terceiros conseguiam explorar as conexões domésticas para cometer fraudes, transmitir dados e instalar outros programas maliciosos. A operação foi divulgada em 2 de novembro de 2026 e contou com empresas especializadas em segurança digital.
O caso chama atenção porque, diferentemente de muitas infecções tradicionais, o problema não dependia de o usuário clicar em um link suspeito ou baixar um aplicativo desconhecido. Normalmente, quando se fala em vírus, a primeira preocupação é com arquivos recebidos por mensagens, aplicativos falsos ou páginas perigosas.
Mas a investigação revelou um problema diferente: parte dos aparelhos já saía da fabricação com um mecanismo capaz de permitir acesso remoto não autorizado. Esse mecanismo, chamado XCPE, estava incorporado ao firmware, o conjunto de programas responsável pelo funcionamento básico do equipamento.
Segundo o Google Threat Intelligence Group, equipe de inteligência de ameaças da empresa, a estrutura maliciosa foi desenvolvida e operada intencionalmente pela fabricante chinesa Videostrong Technology, com o objetivo de gerar ganhos financeiros. A conclusão é atribuída à investigação do Google, que afirma ter elevado grau de confiança nessa identificação.
A Videostrong atua na fabricação de equipamentos Android para diferentes marcas. Por isso, os pesquisadores encontraram o programa em modelos variados, distribuídos comercialmente ao longo de vários anos.
O funcionamento era discreto. Quando a TV box era ligada e conectada à internet, um programa instalado no sistema podia entrar em contato com servidores externos e receber instruções.
A partir dessa comunicação, os operadores conseguiam instalar outros componentes maliciosos, alterar configurações e executar determinadas ações remotamente. Uma das características mais preocupantes era a persistência.
Mesmo que o usuário conseguisse remover parte do programa, ele podia ser reinstalado automaticamente após a reinicialização do aparelho, porque permanecia armazenado em uma área protegida do sistema. O malware também utilizava mecanismos para dificultar sua detecção e podia desativar verificações do Google Play Protect, ferramenta de segurança disponível em dispositivos Android.
Isso permitia que o aparelho continuasse sendo utilizado para assistir à televisão enquanto outras atividades aconteciam silenciosamente em segundo plano. Para entender a dimensão do caso, é preciso conhecer o conceito de botnet.
O termo descreve uma rede de dispositivos comprometidos que podem receber comandos de operadores externos, muitas vezes sem o conhecimento dos proprietários. No caso da XCPE, a principal vantagem para os criminosos estava em transformar aparelhos domésticos em pontos de acesso à internet.
Imagine que alguém queira realizar uma atividade fraudulenta sem utilizar diretamente sua própria conexão. Em vez disso, pode encaminhar o tráfego por uma TV box infectada instalada na casa de outra pessoa.
Na internet, parte dessas conexões passa a aparecer associada ao endereço IP da residência, e não necessariamente à origem real da atividade. Esse mecanismo é conhecido como proxy residencial.
Os operadores da XCPE exploravam justamente esse recurso, permitindo que terceiros utilizassem conexões de usuários sem autorização. O Google também identificou componentes voltados à coleta de informações e à instalação de outros programas maliciosos.
Outra fonte de receita vinha das fraudes publicitárias. Nesse tipo de esquema, programas simulam visualizações de anúncios ou interações com publicidade digital, criando registros falsos que podem gerar pagamentos indevidos.
Assim, uma TV box aparentemente comum podia participar de diferentes atividades ao mesmo tempo, sem apresentar necessariamente uma alteração visível para o proprietário. Os pesquisadores também observaram recursos capazes de capturar imagens da tela, coletar informações de contas e executar comandos nos equipamentos comprometidos.
Isso não significa que todos os aparelhos tenham sido utilizados para todas essas finalidades, mas mostra o alcance das ferramentas identificadas. Para interromper a rede, o Google trabalhou com a Agência Nacional de Polícia do Japão e com as empresas Lumen, HUMAN Security, Plume, Synthient e TrendAI.
A operação se concentrou na infraestrutura digital utilizada para controlar as TV boxes e distribuir programas maliciosos. Segundo o Google, foram adotadas medidas legais para derrubar domínios e servidores associados à Videostrong, além de estruturas utilizadas por grupos que exploravam os aparelhos infectados.
A companhia também encerrou sua relação comercial com a fabricante e a proibiu de produzir dispositivos certificados com aplicativos do Google pré-instalados ou fornecer software a outros fabricantes certificados. A investigação teve uma consequência adicional.
O Google estima que a derrubada de servidores associados aos grupos criminosos possa interromper o acesso a pelo menos outros 10 milhões de dispositivos comprometidos. Esse número não representa 10 milhões de novas TV boxes infectadas pela XCPE.
Trata-se de uma estimativa referente a outros equipamentos alcançados por programas maliciosos distribuídos pelos mesmos grupos, inclusive por caminhos diferentes. Apesar da dimensão da operação, existe uma limitação importante: derrubar os servidores de controle não significa que todos os aparelhos infectados tenham sido automaticamente desinfectados.
O código malicioso podia permanecer instalado no sistema, mesmo depois da interrupção das conexões utilizadas pelos operadores. Por isso, a ação representa um avanço no combate à rede criminosa, mas não elimina todos os riscos para quem possui um equipamento comprometido.
A presença de aparelhos infectados no Brasil torna o caso especialmente relevante para consumidores que utilizam dispositivos Android conectados à televisão. O país já havia registrado problemas semelhantes.
Em agosto de 2025, a Agência Nacional de Telecomunicações (Anatel) alertou para os riscos de TV boxes irregulares contaminadas pelo malware BadBox 2.0, associado ao uso de conexões domésticas para atividades criminosas. Embora os casos envolvam mecanismos semelhantes, BadBox 2.0 e XCPE não devem ser tratados como a mesma operação.
A investigação divulgada agora pelo Google identifica uma infraestrutura específica, com seus próprios programas e responsáveis apontados pelos pesquisadores. Outro detalhe importante é que a ameaça XCPE também atingiu equipamentos que haviam passado por processos de certificação do ecossistema Android.
Portanto, não é correto presumir que todos os aparelhos afetados fossem necessariamente produtos piratas. O Google informou que reforçou seus procedimentos de verificação de fabricantes depois de identificar como o programa malicioso escapava dos testes anteriores.
Para reduzir riscos, a Anatel recomenda utilizar equipamentos homologados, evitar aplicativos e atualizações de fontes desconhecidas e manter os sistemas atualizados. Também orienta desligar aparelhos suspeitos que apresentem sinais de comprometimento.
Quem possui uma TV box de origem duvidosa deve verificar o fabricante, o modelo, a procedência do software e a disponibilidade de atualizações oficiais. Também é recomendável manter o Google Play Protect ativo quando o recurso estiver disponível.
Entretanto, a ausência de sintomas não garante que o aparelho esteja seguro. Como o programa investigado podia permanecer no firmware, uma simples restauração de fábrica pode não ser suficiente para eliminar a ameaça.
Em caso de suspeita fundamentada, desconectar o equipamento da internet e procurar orientação do fabricante são medidas prudentes. Se não houver uma atualização confiável capaz de corrigir o problema, a substituição do dispositivo pode ser necessária.
A identificação de mais de 1,3 milhão de aparelhos comprometidos reforça um risco que nem sempre é visível na tela: dispositivos conectados à internet podem ser explorados para atividades criminosas mesmo enquanto continuam executando normalmente suas funções.
