Boxes Android TV com malware de fábrica: o que muda depois do caso XCPE

O que aconteceu

A 2 de novembro de 2026, o Google Threat Intelligence Group anunciou o desmantelamento de uma botnet chamada XCPE. Segundo o relatório da Google, a rede juntava mais de 1,3 milhões de boxes de televisão infetadas. A responsável, diz a Google com elevada confiança, é a Videostrong Technology, uma empresa chinesa que fabrica equipamentos Android para outras marcas.

O malware não chegava por uma app descarregada por engano. Vinha gravado no firmware, antes de a box chegar a casa do comprador. Se o utilizador o apagasse, voltava a instalar-se sozinho no reinício seguinte.

A operação juntou a polícia nacional do Japão e várias empresas de segurança: Lumen, HUMAN Security, Plume, Synthient e TrendAI. A Google cortou relações com a Videostrong e proibiu-a, bem como futuras filiais, de fabricar aparelhos Android certificados.

Para que servia a botnet

A box continuava a mostrar filmes e canais como se nada fosse. Em segundo plano, fazia outra coisa. De acordo com a Google e com a Recorded Future News, os aparelhos infetados serviam para:

• emprestar o endereço IP da casa a terceiros, como «proxy residencial», para disfarçar fraudes e ataques;
• clicar em anúncios invisíveis e desviar dinheiro de anunciantes;
• extrair dados e instalar outros programas maliciosos sem autorização;
• receber ordens à distância, incluindo capturas do ecrã.

A Google estima que o corte dos servidores de controlo afete também o acesso a pelo menos 10 milhões de outros aparelhos comprometidos.

Brasil em segundo lugar, Portugal atento

Os números de telemetria da TrendAI, citados pelo UOL, contam 150 080 aparelhos infetados no Brasil. Só a Malásia tem mais, com 300 390. Seguem-se o Iraque, o México e Taiwan.

Para Portugal não foi publicado um número. A imprensa nacional, como o SAPO TEK, noticiou o caso a 5 de novembro. As mesmas boxes baratas vendem-se em lojas online e marketplaces de toda a Europa, por isso convém verificar o aparelho que tem na sala, esteja em Lisboa, em Luanda ou em São Paulo.

Há um padrão conhecido. Muitas destas caixas ganham clientes com a promessa de centenas de canais por um pagamento único, divulgada por influenciadores nas redes sociais, como lembra o KrebsOnSecurity. Um preço muito abaixo do mercado é, muitas vezes, o primeiro sinal de alerta.

Como saber se a sua box é segura

1. Abra a app Google Play Store na box.
2. Toque no ícone do perfil, depois em Definições e em Informações.
3. Veja a linha «Certificação do Play Protect». Se disser que o dispositivo não está certificado, a Google não tem registo dos testes de compatibilidade desse aparelho (Ajuda do Google Play).

A empresa Synthient publicou a lista de modelos observados na campanha, entre eles várias referências MECOOL. Avisa, no entanto, que o nome do modelo não basta para confirmar uma infeção.

Se a sua box não for certificada ou constar da lista, o mais prudente é desligá-la da rede. Reinstalar apps não resolve, porque o código está no firmware. Uma box com certificação Android TV recebe atualizações e tem o Play Protect ativo. Para perceber o que é uma botnet, a Wikipédia tem uma boa introdução.

Fontes

• Google Threat Intelligence Group, «Shutting the Door on the XCPE Botnet», 2 de novembro de 2026
• Recorded Future News, «Google dismantles massive botnet hidden in Android TV boxes»
• KrebsOnSecurity, «Tech Firms Dismantle Botnet That Turned 1.3M TV Boxes Into Proxies»
• UOL Tilt, «Vírus de fábrica em TV boxes afeta 150 mil aparelhos só no Brasil», 5 de novembro de 2026
• SAPO TEK, «Mais de 1,3 milhões de boxes Android TV escondiam malware pré-instalado», 5 de novembro de 2026
• Synthient, lista de modelos observados