O Google Threat Intelligence Group (GTIG) encontrou XCPE em mais de 1,3 milhão de TV Boxes Android associadas à Videostrong Technology, segundo a reportagem da BGR sobre o caso. O Google rompeu a relação com a empresa, e uma operação do Google com empresas de segurança interrompeu a infraestrutura de controle. A BGR relata que o firmware podia reinstalar o backdoor após uma reinicialização, então derrubar os servidores não equivale a limpar cada aparelho.
Interromper o comando remoto e remover um backdoor persistente são tarefas diferentes: o firmware podia reinstalar o XCPE após uma reinicialização.
A descoberta e a resposta do Google
A BGR data a publicação do relatório do GTIG em 2 de novembro de 2026. Em uma reportagem publicada em 4 de novembro, a BGR situou a interrupção da infraestrutura na semana anterior. A publicação também relata que o Google encerrou a parceria com a Videostrong e impediu a empresa de fabricar dispositivos Android certificados ou fornecer software a outros fabricantes certificados.
Na época da reportagem, a Synthient estimava que cerca de 500 mil aparelhos ainda contatavam os servidores diariamente. O Brasil estava entre os locais citados pela BGR, junto com Malásia, México e Estados Unidos.
Como o XCPE agia
A BGR relata que o XCPE ficava no firmware e tinha privilégios de sistema. Em uma amostra de um Mecool KM9PRO Max comprada pela Synthient no fim de 2025, o pacote aparecia com o nome com.oemservice.
Na inicialização, o backdoor enviava dados do aparelho, incluindo número de série e endereço MAC, aos servidores da Videostrong e aguardava instruções. Seus operadores podiam instalar aplicativos sem o conhecimento do proprietário e executar comandos de shell. A reportagem também atribui ao GTIG a identificação de fraude em anúncios e uso de aparelhos como proxies residenciais. Em algumas caixas, operadores fizeram capturas de tela ao vivo e obtiveram informações de contas; um único aparelho chegou a ter até três kits de desenvolvimento de software (SDKs) de proxy residencial.
Uma lista de modelos não confirma infecção
A lista de pesquisa da Synthient incluía mais de 180 modelos, mas encontrar o modelo de uma TV Box nela não confirma que aquela unidade esteja infectada. A BGR relata que a verificação por modelo não é um diagnóstico individual.
Precauções para a rede doméstica
Para aparelhos afetados, a Synthient recomendou desconectar a TV Box da rede, trocar a senha do Wi-Fi e atualizar o firmware do roteador, segundo a BGR. Essas medidas são distintas da remoção do backdoor, que podia voltar após a reinicialização.
Como precaução geral, a Kaspersky recomenda separar TV Boxes e outros dispositivos inteligentes em uma rede Wi-Fi própria, mantendo celulares, computadores e armazenamento conectado à rede na principal. Essa segmentação pode limitar o que um dispositivo comprometido alcança na rede doméstica, mas não remove malware do firmware.
