Em 2 de novembro de 2026, o Google anunciou que havia interrompido a infraestrutura da rede XCPE e encerrado os vínculos com a Videostrong Technology Co. Os relatos estimaram cerca de 1,3 milhão de dispositivos ligados à rede, em sua maioria boxes Android TV. A lista de modelos associada à campanha ajuda a identificar possíveis correspondências, mas, segundo a Synthient, um nome igual não confirma que uma unidade esteja infectada.
O que o Google interrompeu
O Google atribuiu à Videostrong o desenvolvimento e a operação deliberados do XCPE para obter lucro. Essa é a avaliação da empresa. O Google também disse que proibiu a Videostrong de fabricar dispositivos Android certificados e de fornecer software a fabricantes certificados, além de mudar seu processo de análise de dispositivos.
A estimativa de cerca de 1,3 milhão se refere a dispositivos associados ao XCPE; a maioria era de aparelhos Android TV, mas também foram identificados outros dispositivos IoT com Android, incluindo equipamentos de teleatendimento, karaokê e sinalização digital. Em outra estimativa, o Google afirmou que a interrupção de domínios de comando e controle (C2), usados para administrar módulos afiliados, poderia cortar o acesso a pelo menos 10 milhões de dispositivos comprometidos adicionais. Esse número tem outro escopo: não é uma estimativa de infecções extras por XCPE.
Como o backdoor XCPE operava
O código malicioso ficava no firmware, o software básico do aparelho, e podia ser ativado após a primeira inicialização. O Google afirmou que técnicas de ofuscação esconderam o código durante os testes de certificação e exploraram uma lacuna no processo de análise.
Os módulos associados à rede foram usados para fraude publicitária, operação de redes de proxy residencial e distribuição de outros malwares. As conclusões atribuídas ao Google também mencionam capturas de tela, injeção de teclas, coleta de informações de contas e do sistema e execução remota de comandos.
Como interpretar a lista de modelos
A Synthient publicou identificadores observados na campanha, entre eles KM9PRO, KM9PRO_MAX, KM7PLUS, LEAP-S1, MeGo1 e UHD_Google_TV_STB. Uma correspondência pode indicar que vale a pena conferir o identificador exato do aparelho, mas não confirma a infecção de uma unidade específica, como a Synthient explica em sua lista de modelos.
Em um registro associado a KM9PRO, a Synthient separa os campos de marca, fabricante, produto e modelo: MeCool, SkyworthDigital, HPR311-MECOOL e UHD Google TV STB, respectivamente. O registro também identifica Google TV com Android 12. Esses campos descrevem um aparelho analisado; a marca e o fabricante aparecem como informações distintas.
O que ocorreu após a remoção do pacote visível
O Business Standard relatou que, segundo uma constatação do Google, o pacote visível do XCPE podia reaparecer após uma reinicialização, mesmo depois de ser removido. A interrupção da infraestrutura de controle e a remoção do código presente no firmware são ações diferentes.
A resposta da MECOOL
Em um vídeo publicado em 5 de novembro, o canal UG Tech leu um e-mail atribuído ao suporte técnico pós-venda da MECOOL. A mensagem dizia que a Videostrong fabricava os produtos da marca, que havia recorrido ao Google e que a MECOOL não recomendava que usuários comuns parassem de usar seus aparelhos. Essa é a posição atribuída à empresa.
