Uma investigação divulgada pelo Google expôs um esquema criminoso de proporções globais: a fabricante Videostrong comercializou TV boxes com um vírus pré-instalado no firmware dos aparelhos.
O código malicioso, batizado de XCPE, comprometeu mais de 1,3 milhão de dispositivos em diversos países, inclusive no Brasil.
Com isso, criminosos obtiveram controle remoto sobre os equipamentos, roubaram dados de usuários e monetizaram conexões de Internet das vítimas sem qualquer consentimento.
O XCPE não chegava aos consumidores por download ou descuido. Pelo contrário, a Videostrong o inseriu diretamente no firmware dos aparelhos, camada responsável pelo funcionamento básico de cada dispositivo.
Para driblar auditorias, o código malicioso permanecia inativo durante os testes de certificação. Somente na primeira vez em que o consumidor ligava o equipamento, o vírus se ativava e estabelecia contato com servidores externos.
A partir desse momento, operadores remotos podiam instalar aplicativos, executar comandos e capturar imagens da tela sem qualquer autorização do proprietário do dispositivo.
O objetivo central do esquema era financeiro.
A Videostrong vendia o acesso aos dispositivos infectados para grupos criminosos, que exploravam as máquinas de pelo menos duas formas principais:
A conexão de Internet das vítimas era revendida a terceiros, que navegavam na web com o endereço IP dos usuários.
Uma empresa poderia, por exemplo, pagar para distribuir milhares de acessos a um site entre as redes das vítimas, sem risco de bloqueio.
Softwares instalados remotamente simulavam cliques e visualizações em anúncios digitais, gerando receita ilícita para os operadores do esquema.
Tudo isso ocorria em segundo plano. Os donos dos aparelhos continuavam assistindo a filmes e séries sem perceber qualquer anomalia.
Ao concluir a investigação, o Google adotou medidas severas contra a Videostrong. A corporação encerrou o vínculo comercial com a fabricante e a proibiu de produzir ou comercializar novos dispositivos Android certificados.
Essa restrição se estende a subsidiárias e afiliadas, além de vedar o fornecimento de software para outras marcas parceiras.
Em paralelo, a companhia se uniu à polícia japonesa e a especialistas em cibersegurança para desativar os servidores utilizados pelo esquema.
O Google também anunciou revisões nos processos internos de certificação para reduzir o risco de que aparelhos com vírus pré-instalados voltem a circular no mercado.
"Um fabricante que infecta intencionalmente seus próprios usuários com malware comete uma quebra de confiança inaceitável", declarou o Google em comunicado oficial.
A derrubada dos servidores não eliminou o XCPE dos aparelhos já infectados. O vírus reside em uma partição do sistema capaz de se reinstalar mesmo após uma restauração de fábrica.
Identificar a infecção também é difícil, pois o malware opera de forma silenciosa.
O Google publicou referências técnicas, como os nomes de arquivos "x.cpe" e "com.oemservice", mas esses componentes costumam ficar ocultos no sistema, fora do alcance da maioria dos usuários.
Até 2026, nenhuma ferramenta de verificação foi disponibilizada pela corporação. Para reduzir riscos, é recomendável adotar as seguintes medidas:
Essas verificações indicam a procedência do equipamento, mas não garantem ausência de infecção.
Em caso de suspeita, a medida mais segura é desconectar o dispositivo da Internet e procurar assistência técnica especializada, pois a restauração de fábrica pode ser insuficiente para remover o XCPE definitivamente.
FRAUDES DIGITAIS Anatel impõe novas regras para combater golpes por SMS 
COMBATE DE FRAUDES Anatel exigirá reconhecimento facial para linhas de celular; entenda 
NOVIDADE NO RADAR WhatsApp prepara navegador próprio para abrir links 
Mín. 21° Máx. 38°
