O Google e parceiros interromperam os domínios de comando e controle da botnet XCPE, ligada a uma campanha que atingiu mais de 1,3 milhão de aparelhos, em sua maioria TV boxes Android. A ação atingiu a infraestrutura usada para coordenar o malware; o implante estava incorporado ao firmware dos dispositivos.
O que a interrupção atingiu
Os domínios de comando e controle são parte da infraestrutura usada para enviar instruções aos dispositivos infectados. A campanha XCPE também foi associada a fraude publicitária, extração de dados, venda de acesso a proxies residenciais e instalação de outros malwares.
O Google atribuiu a campanha à fabricante de dispositivos Android Videostrong Technology Co. A empresa informou que encerrou a relação com a fabricante e a barrou de produzir aparelhos com aplicativos do Google pré-instalados.
A contagem de aparelhos e modelos
A TrendAI contabilizou 1.472.554 dispositivos infectados em 206 modelos entre junho e outubro de 2026. A contagem se refere a esse período; a maioria dos aparelhos atingidos era TV boxes Android.
O que a orientação sobre Play Protect significa
O Google recomendou verificar se o Play Protect está ativado e comprar aparelhos de fabricantes confiáveis. A TrendAI identificou que o implante podia desativar o Play Protect e que os proprietários não conseguiam removê-lo. Por isso, conferir essa configuração é uma precaução, não uma confirmação de que uma TV box afetada foi limpa.
