No fim de outubro de 2026, o Google informou ter interrompido a infraestrutura de comando e controle da botnet Android x.cpe, que incluía mais de 1,3 milhão de dispositivos, em sua maioria TV boxes. A ação atingiu o canal usado para controlar a rede; a backdoor já instalada no firmware podia continuar nos aparelhos. O relatório do Google Threat Intelligence Group descreve a operação.
O alcance e a atribuição do Google
O Google avaliou, com alto grau de confiança, que a Videostrong Technology Co. desenvolveu, implantou e operou deliberadamente a backdoor e a botnet para obter lucro. A interrupção relatada mirou a infraestrutura de comando, não uma limpeza do firmware dos dispositivos.
Em uma contagem separada, a TrendAI registrou 1.472.554 dispositivos infectados em 206 modelos entre 3 de junho e 1º de outubro. A empresa afirmou que o total real era pelo menos esse. Malásia, Brasil, Iraque, México e Taiwan apareceram entre os países mais afetados, sem contagens individuais divulgadas para cada um.
Como a x.cpe se comunicava
A x.cpe, uma porta dos fundos (backdoor) pré-instalada no firmware, operava com privilégios de sistema. Uma análise técnica da NetmanageIT descreve uma solicitação inicial de configuração por HTTP, com telemetria do dispositivo em um objeto JSON criptografado com AES, seguida por uma conexão MQTT persistente para comunicação com os operadores.
Segundo essa análise, as interações mais frequentes na atividade que ela descreve eram a instalação, a remoção e a configuração de módulos. A botnet também foi associada a tráfego de proxy residencial, fraude publicitária, instalação de outros malwares e coleta de dados, como capturas de tela, teclas digitadas e informações de contas e dispositivos.
O que a interrupção significa para os aparelhos
A x.cpe podia ser restaurada a partir da partição /oem/ depois de uma reinicialização. Por isso, remover um aplicativo pela interface comum do Android não bastava para eliminar o componente do firmware. A interrupção da infraestrutura de comando, por si só, não demonstra que os aparelhos já infectados foram limpos.
A Synthient divulgou uma lista com 182 nomes de modelos observados na campanha. Um nome coincidente com a lista não comprova que uma unidade específica esteja infectada. Para lidar com uma backdoor embutida no firmware, a TrendAI apontou ação do fabricante, proteção da plataforma ou substituição do dispositivo como medidas de remediação.
