Google corta o controle da rede XCPE ligada a 1,3 milhão de aparelhos Android
A operação, divulgada em 2 de novembro, envolveu a polícia japonesa e empresas de segurança; os dispositivos estavam espalhados por mais de 200 países.
Redação ·
Mais de 1,3 milhão de aparelhos Android, em sua maioria TV boxes, foram incluídos na rede criminosa XCPE. O Google e parceiros interromperam a infraestrutura usada para controlá-los em uma operação divulgada em 2 de novembro, com participação da Agência Nacional de Polícia do Japão. A investigação aponta que os dispositivos estavam espalhados por mais de 200 países, incluindo o Brasil.
Segundo o Google, o código malicioso já vinha instalado no firmware — o software básico que faz o aparelho funcionar — antes de chegar aos compradores. A empresa atribuiu a criação e a operação da rede, com alto grau de confiança, à fabricante chinesa Videostrong Technology. O comunicado afirma que o esquema funcionava para gerar dinheiro: a fabricante vendia acesso aos aparelhos infectados a grupos criminosos.
O que os aparelhos faziam sem o conhecimento dos donos
Os módulos instalados nos dispositivos eram usados para fraude publicitária, para carregar outros programas maliciosos e para transformar a conexão doméstica em um proxy residencial. Nesse último caso, o tráfego de terceiros passava pela internet do usuário, podendo fazer atividades alheias parecerem originadas do endereço de uma residência comum.
A estrutura também permitia enviar comandos aos aparelhos, como instalar aplicativos de forma silenciosa e executar instruções remotamente. O Google informou que o malware podia continuar no dispositivo mesmo após uma tentativa de remoção: em alguns modelos, o código era reinstalado quando o aparelho reiniciava. A queda dos servidores de comando interrompe a comunicação com a rede, mas não equivale a apagar o programa de todos os dispositivos afetados.
A ação também mira outros grupos
Além dos servidores ligados diretamente à XCPE, os parceiros derrubaram domínios usados por mais de uma dúzia de famílias de malware que eram distribuídas como módulos. Como esses grupos também espalhavam seus programas por outros meios, o Google estima que a interrupção possa cortar o acesso a pelo menos 10 milhões de dispositivos comprometidos adicionais. Esse número não representa aparelhos infectados pela própria XCPE.
A ação reuniu Google, Lumen, HUMAN Security, Plume, Synthient e TrendAI, além da polícia japonesa. O Google afirma ter tomado medidas legais para derrubar domínios e servidores de controle, encerrado sua relação com a Videostrong e proibido a fabricante — incluindo futuras afiliadas — de produzir dispositivos Android certificados ou fornecer software a outros fabricantes certificados.
O que se sabe sobre o Brasil
O Brasil aparece entre os países onde a rede foi identificada, mas as informações divulgadas não apontam quantos aparelhos brasileiros foram afetados nem detalham marcas e modelos. A operação não foi apresentada como uma ação de órgãos brasileiros. O Google também diz ter ajustado a análise de firmware de aparelhos certificados, após identificar técnicas que escondiam o código malicioso durante os testes e o carregavam depois da primeira inicialização.
Quer se aprofundar nesta notícia? Leia mais sobre ela abaixo: