Rede de TV boxes infectadas foi usada para encaminhar tráfego malicioso; Brasil teve mais de 150 mil aparelhos afetados.

O Brasil aparece como o segundo país com maior número de aparelhos identificados, com 150.080 dispositivos afetados, atrás apenas da Malásia.

A rede, identificada como XCPE, utilizava um programa malicioso incorporado ao sistema dos equipamentos. Dessa forma, os aparelhos podiam ser comprometidos sem que os proprietários precisassem clicar em links suspeitos ou instalar aplicativos desconhecidos.

A operação foi anunciada em 2 de novembro de 2026 e reuniu Google, TrendAI, Lumen, Plume, HUMAN Security, Synthient e a Agência Nacional de Polícia do Japão. Segundo o Google, a fabricante chinesa Videostrong Technology foi responsável por desenvolver e instalar intencionalmente a estrutura maliciosa, que posteriormente permitia o acesso de grupos criminosos aos dispositivos.

 

Aparelhos eram transformados em ferramentas para atividades criminosas

Mesmo funcionando aparentemente de maneira normal, os dispositivos infectados executavam tarefas escondidas em segundo plano. Entre elas estavam fraudes publicitárias, coleta de informações e utilização da conexão de internet dos consumidores para encaminhar tráfego de terceiros.

Nesse último caso, os aparelhos eram transformados em chamados proxies residenciais. Na prática, isso permite que uma pessoa ou grupo externo utilize o endereço IP de uma residência para acessar serviços e realizar atividades na internet, dificultando a identificação da verdadeira origem das conexões.

O Google também identificou comandos remotos que permitiam instalar programas sem autorização, executar códigos, capturar imagens da tela, coletar informações do dispositivo e realizar reconhecimento da rede à qual o equipamento estava conectado. A investigação registrou ainda a execução de comandos capazes de estabelecer conexões remotas persistentes nos aparelhos.

 

Rede pode ter relação com ataques a servidores e sites?

As características identificadas na investigação mostram que uma rede desse tamanho poderia oferecer infraestrutura para diferentes tipos de atividades cibernéticas.

O uso de milhares de endereços IP residenciais como intermediários pode, por exemplo, ser aproveitado por criminosos para distribuir requisições automatizadas, realizar tentativas de acesso a sistemas, investigar serviços expostos na internet e encaminhar tráfego malicioso contra sites e servidores.

Isso significa que a tecnologia utilizada pela rede XCPE tem potencial para facilitar ataques digitais, inclusive contra estruturas de empresas, provedores e páginas na internet. Entretanto, o Google não confirmou que a rede tenha sido responsável por ataques específicos a servidores brasileiros, invasões de sites ou derrubadas de páginas. O que a investigação comprovou foi o encaminhamento de tráfego malicioso, o uso de proxies residenciais e a realização de reconhecimento de redes.

 

E as alterações indevidas de DNS?

Outro ponto que merece atenção é a possibilidade de alterações não autorizadas em configurações de DNS, sistema responsável por direcionar nomes de domínio para os endereços dos servidores correspondentes.

Uma invasão a contas de gerenciamento de domínios, provedores de DNS ou roteadores pode permitir que criminosos modifiquem registros e redirecionem visitantes para servidores controlados por terceiros.

No caso da XCPE, porém, não há confirmação de que os criminosos tenham utilizado a rede para alterar registros DNS ou invadir painéis de gerenciamento de domínios. A investigação identificou ferramentas de reconhecimento de redes, execução de comandos e encaminhamento de tráfego, mas não apontou alterações de DNS como uma atividade comprovada.

A possibilidade de relação com ocorrências desse tipo precisa ser investigada individualmente, por meio de registros de acesso, endereços IP, logs de servidores e histórico de alterações de DNS.

Brasil está entre os países mais afetados

Segundo o levantamento da TrendAI, o Brasil registrou 150.080 dispositivos infectados. A Malásia lidera o levantamento, enquanto Iraque, México e Taiwan também aparecem entre os países com maior número de aparelhos identificados.

A investigação identificou equipamentos em mais de 200 países e territórios. Foram encontrados mais de 200 modelos de dispositivos comprometidos, incluindo aparelhos de diferentes marcas e equipamentos vendidos sem identificação comercial conhecida.

 

Google derrubou servidores utilizados pela rede

Como parte da operação, o Google adotou medidas legais para retirar do ar domínios e servidores usados no controle dos dispositivos infectados e na distribuição dos programas maliciosos.

A empresa também interrompeu relações com a Videostrong e proibiu a fabricante e suas afiliadas de produzir dispositivos Android certificados com aplicativos e serviços do Google pré-instalados. O processo de certificação também deverá receber melhorias para reduzir o risco de ameaças semelhantes.

Apesar da operação, a interrupção dos servidores de controle não significa necessariamente que o programa malicioso tenha sido removido de todos os aparelhos que já chegaram aos consumidores. Como o código estava incorporado ao sistema básico dos dispositivos, uma simples restauração de fábrica pode não ser suficiente para eliminá-lo.

 

Como o consumidor pode se proteger?

A recomendação é ter cuidado na compra de TV boxes, especialmente equipamentos sem fabricante identificável, procedência conhecida ou homologação da Anatel.

Também é importante verificar se o modelo possui certificação adequada, manter os dispositivos atualizados e desconfiar de aparelhos que oferecem acesso gratuito a conteúdos pagos sem autorização.

Quem suspeitar que possui um equipamento comprometido deve desconectá-lo da internet e procurar assistência técnica especializada. A restauração de fábrica, isoladamente, não garante a remoção desse tipo de ameaça.

O caso mostra que um aparelho aparentemente inofensivo pode ser utilizado como parte de uma infraestrutura criminosa, colocando em risco não apenas a privacidade do proprietário, mas também a segurança de outras redes e serviços conectados à internet.