Google e parceiros desativam rede de 1,3 milhão de aparelhos Android
A operação atingiu dispositivos infectados em mais de 170 países, incluindo o Brasil; o código malicioso pode continuar nos aparelhos mesmo após a derrubada dos servidores.
Resumo em 30 segundos
Uma operação internacional desativou servidores usados para controlar mais de 1,3 milhão de aparelhos Android infectados, principalmente TV boxes. O Google atribuiu à fabricante chinesa Videostrong a instalação intencional de um código malicioso chamado “x.cpe”. A derrubada interrompeu o acesso dos criminosos à maior parte da rede, mas não removeu necessariamente o código dos dispositivos.
Uma operação internacional de cibersegurança desativou servidores usados para controlar mais de 1,3 milhão de aparelhos Android infectados, principalmente TV boxes, em mais de 170 países. A ação, divulgada pelo Google nesta segunda-feira (2), envolveu também a Polícia Nacional do Japão e empresas de segurança digital. O Brasil está entre os países com maior concentração de dispositivos comprometidos.
Segundo o Google, a fabricante chinesa Videostrong instalou intencionalmente um código malicioso nos equipamentos e vendeu acesso a criminosos. A empresa não se pronunciou publicamente sobre as acusações. O Google também encerrou relações comerciais com a fabricante e proibiu a empresa e futuras subsidiárias de produzir ou comercializar aparelhos Android certificados.
A investigação identificou nos dispositivos um componente oculto chamado “x.cpe”, instalado de fábrica. Ele mantinha acesso privilegiado ao sistema e permitia instalar aplicativos sem conhecimento dos usuários, além de dificultar a detecção do aparelho em verificações de segurança.
Com os equipamentos sob controle, os operadores usavam conexões residenciais para mascarar a origem do tráfego na internet. Esse método fazia acessos criminosos parecerem vir de usuários legítimos em diferentes localidades, ajudando a fraudar sistemas financeiros e a contornar mecanismos de segurança que avaliam a reputação de endereços de internet.
Os aparelhos também podiam ser usados para redirecionar conexões e distribuir conteúdo. Módulos maliciosos executados em segundo plano consumiam banda larga e recursos de processamento sem exibir avisos na televisão. A estrutura permitia atualizar os programas remotamente e mantinha comunicação com servidores externos mesmo depois que o dispositivo era reiniciado.
A rede incluía modelos de marcas como MECOOL e equipamentos usados em serviços de telessaúde e karaokê digital. Além do Brasil, México, Iraque e Taiwan estavam entre os locais com maior número de aparelhos afetados. A operação contou com o Google Threat Intelligence Group, Plume, TrendAI, Synthient, Lumen e HUMAN Security.
Robert Neumann, vice-presidente de laboratórios de segurança da Plume, afirmou que o caso mostra os riscos de aparelhos conectados de baixo custo. Ele recomendou evitar TV boxes Android sem marca ou certificação e aplicativos que oferecem pagamento pelo compartilhamento de banda larga. Larissa Knapp, chefe-executiva de proteção de conteúdo da Motion Picture Association (MPA), também aconselhou consumidores a comprar aparelhos conectados de fabricantes reconhecidos.
A derrubada dos servidores interrompeu o acesso dos criminosos à maior parte da rede, mas não removeu necessariamente o código malicioso dos aparelhos. Segundo a Plume, em muitos casos ele permanece gravado no sistema, e a limpeza completa pode depender de uma ação do fabricante ou da substituição do dispositivo. As empresas e autoridades envolvidas continuam monitorando possíveis tentativas de transferir o controle da rede para novos servidores.
