A Plume Security Lab relata que alguns dispositivos Android SuperBox combinam Android Debug Bridge (ADB) exposto na rede, acesso root sem autenticação e aplicativos com funções de proxy. Essa combinação pode permitir a instalação silenciosa de APKs e abrir caminho para abusos que ultrapassam a própria TV box. Um honeypot registrou 1.352 tentativas distintas de alcançar o ADB em mais de três semanas, mas o número não representa aparelhos infectados nem invasões confirmadas.
O que foi relatado sobre alguns dispositivos SuperBox
O ADB é uma interface de depuração do Android que permite administrar um aparelho por comandos. Em condições normais, o acesso costuma exigir autorização; no conjunto de dispositivos examinado pela Plume, o serviço estaria disponível pela rede local na porta TCP 5858, sem solicitar aprovação de outro aparelho.
A Plume também relata a presença do binário su, associado ao acesso root, sem autenticação. Root é o nível mais alto de privilégio no Android: com ele, um processo pode fazer alterações que normalmente ficam bloqueadas para aplicativos comuns.
O ponto importante é o escopo. O relato se refere a determinados dispositivos examinados pela Plume, não a todos os modelos SuperBox, a todas as versões de firmware ou a todas as TV boxes Android. A foto do S7PRO ajuda a reconhecer o tipo de hardware.
Por que ADB e acesso root aumentam o risco
ADB exposto e root sem autenticação formam uma cadeia perigosa. Segundo a descrição técnica da Plume, essa combinação pode permitir o uso de um comando como pm install para instalar um APK silenciosamente.
Na prática, isso contorna várias barreiras padrão do Android de uma só vez: verificação de assinatura, restrição a fontes desconhecidas, tela de revisão de permissões e análise do Play Protect. O problema não é apenas alguém conseguir conversar com a TV box; é a possibilidade de transformar esse acesso em controle privilegiado sobre o sistema.
Esse caminho também ajuda a separar duas camadas que costumam ser misturadas na discussão. A configuração do aparelho — ADB acessível e root sem autenticação — reduz a barreira de segurança. Já os aplicativos podem fornecer a função de proxy ou outras rotinas executadas no dispositivo. Uma camada não prova automaticamente a outra, mas a combinação amplia o impacto possível.
Como o proxy pode alcançar serviços locais
A Plume relata que o aplicativo Cyberflix TV continha o SDK de proxy residencial da Popanet. Esse tipo de software pode fazer o endereço de internet da casa participar de conexões destinadas a outros serviços.
No caminho descrito pela pesquisa, usuários da rede de proxy tentaram alcançar serviços locais do dispositivo usando os endereços 0.0.0.0 e 127.0.0.1. Esses endereços são associados à própria máquina ou às interfaces locais; por isso, o risco não fica restrito ao tráfego que sai para a internet. Ele pode envolver serviços disponíveis na TV box e, potencialmente, outros sistemas acessíveis a partir dela.
A Plume informou ainda que sua telemetria observou dezenas de milhares de pedidos de conexão por dispositivo a cada dia, direcionados a milhares de destinos, e identificou pelo menos 255 endereços IP em diferentes clusters de servidores da Popanet. A mesma pesquisa mencionou perto de 10 mil dispositivos SuperBox em sua própria base de usuários no período analisado. Esses números descrevem a escala observada pela Plume em seu ambiente; não são uma contagem global de aparelhos comprometidos.
O que o honeypot registrou em mais de três semanas
O resultado mais concreto é uma observação controlada: um honeypot operado como nó de saída residencial da Popanet ficou ativo por mais de três semanas e registrou 1.352 tentativas distintas de alcançar serviços ADB.
Os alvos foram as portas TCP 5555 e 5858. A porta 5858 aparece associada ao serviço ADB relatado nos dispositivos examinados, enquanto o experimento também monitorou a 5555, outra porta comumente usada em configurações de ADB pela rede.
O que esse número conta é simples: tentativas de acesso capturadas pelo honeypot. Ele não conta proprietários, não mede o número de SuperBox afetados e não demonstra que cada tentativa resultou em acesso bem-sucedido. Ainda assim, mostra que o caminho exposto recebeu atividade de exploração durante o período observado — não se trata apenas de uma hipótese abstrata.
Hardware, aplicativos e o que o relato não permite concluir
A configuração de segurança e os aplicativos cumprem papéis diferentes. O ADB acessível e o root criam uma rota de administração com privilégios elevados; aplicativos como o Cyberflix TV aparecem no relato da Plume pelo vínculo com o SDK de proxy da Popanet.
Isso não equivale a dizer que todo hardware SuperBox contém malware ou que todos os modelos usam os mesmos aplicativos. Também não permite concluir que toda TV box Android, nem que todo aparelho com capacidade de sideload, tenha a mesma exposição. O alcance confirmado pela pesquisa fica nos dispositivos e comportamentos examinados por ela.
Para quem tem um modelo específico, a identificação visual — como o nome S7PRO na carcaça — não basta para determinar a configuração de rede. A situação depende do aparelho e do software instalado, e o relato não estabelece cobertura universal por modelo ou firmware.
Como reduzir a exposição
Se você possui uma SuperBox e não precisa mantê-la conectada, a medida mais conservadora é desconectá-la da rede doméstica. Também evite usar no aparelho contas bancárias, e-mail importante, conta principal do Google ou outros serviços sensíveis.
Se a box precisar permanecer conectada, algumas medidas podem limitar o dano potencial:
- coloque o dispositivo em uma rede de convidados com isolamento de clientes, quando o roteador oferecer esse recurso;
- use um roteador separado para a TV box, mantendo-a fora da rede principal;
- considere limitar a banda disponível para o aparelho, como medida de contenção;
- prefira uma VPN configurada no roteador dedicado, quando essa for uma opção disponível;
- não trate nenhuma dessas medidas como prova de que o dispositivo está seguro.
O isolamento pode reduzir a comunicação entre a TV box e computadores, celulares e outros equipamentos da casa. Uma VPN pode conter parte do tráfego no roteador. Mas nenhuma das duas remove, por si só, um ADB exposto, o acesso root ou o comportamento de um aplicativo instalado no aparelho.
O ponto decisivo é não confundir contenção com correção. Diante de uma TV box cuja configuração de segurança não está clara, tirá-la da rede e impedir o uso de contas sensíveis reduz as consequências mais imediatas — especialmente quando um dispositivo de entretenimento pode acabar servindo de ponte para abusos na conexão residencial.
