O que o Google anunciou

Em 2 de novembro de 2026, o Google Threat Intelligence Group publicou "Shutting the Door on the XCPE Botnet". Junto com a Polícia Nacional do Japão e as empresas Lumen, HUMAN Security, Plume, Synthient e TrendAI, o Google desmantelou um backdoor chamado XCPE que havia incorporado mais de 1,3 milhão de set-top boxes a uma botnet. Segundo o Google, a Videostrong Technology (fabricante OEM/ODM de Shenzhen) o desenvolveu, instalou e operou com fins lucrativos, alugando o acesso a terceiros para fraude publicitária, proxy residencial e carga de mais malware.

O Google rompeu a relação com a Videostrong, revogou sua licença para fabricar dispositivos com aplicativos do Google pré-instalados e mudou seu processo de revisão: o código malicioso era carregado depois da primeira inicialização e, assim, passava nos testes de certificação1.

O que foi eliminado… e o que não foi

O que o Google derrubou foi a infraestrutura de controle: os domínios e servidores com os quais a Videostrong comandava a botnet e instalava módulos, além dos de mais de uma dúzia de famílias de malware carregadas pelo backdoor1. Isso corta as ordens. Não é uma limpeza dos aparelhos.

O componente principal, x.cpe (também com.oemservice), vem pré-instalado na partição de firmware e roda com privilégios de sistema (android.uid.system). Segundo o Google, se o usuário o desinstala, ele se reinstala sozinho a partir da partição /oem/ ao reiniciar, e "não pode ser removido pelo usuário"1. O anúncio não informa que o backdoor tenha sido removido dos aparelhos que já estão nas casas, nem explica como removê-lo.

Em outras palavras: a caixa continua tendo no firmware um backdoor com privilégios de sistema que inicia junto com ela. Os servidores que o comandavam estarem fora do ar é uma boa notícia, mas não muda o que está instalado no aparelho. Esta é uma inferência nossa, não uma afirmação do Google: enquanto esse componente continuar ali e em execução, o aparelho mantém a porta aberta, à espera de qualquer servidor que volte a lhe dar ordens. O próprio Google reconhece que "o mercado ilícito subjacente é resiliente"1.

Por que desinstalar ou reiniciar não basta

É a mesma mecânica de fundo que descrevemos em BADBOX 2.0: malware que chega com a caixa e que nenhum app da Play Store consegue tocar.

Como o AMK resolve

Derrubar servidores é trabalho do lado da rede. O AMK resolve o XCPE do lado do aparelho: com acesso root à TV box, desativa de verdade o malware (x.cpe / com.oemservice, já incluídos no catálogo do AMK) para que pare de ser executado. Um componente desativado não roda, então nem sequer tenta se conectar aos servidores de controle, nem aos atuais nem a qualquer um que surja no futuro. É justamente o que o desligamento dos servidores não consegue. A análise é gratuita e você só paga se for encontrada uma ameaça; o AMK compara o sistema real do aparelho com seu catálogo e escolhe o método de limpeza conforme a marca e o modelo.

Tem uma TV box genérica? Analise grátis e veja o que está instalado.

Analisar minha TV box

O que o Google recomenda

Comprar dispositivos conectados apenas de fabricantes conhecidos (embora, como este caso mostra, a certificação por si só não bastou), manter o Play Protect ativo, revisar as permissões de VPNs e proxies de terceiros e desconfiar de apps que pagam para você "compartilhar sua internet" ou "banda não utilizada"1.

Alcance geográfico: o Google descreve a botnet como "dispersa globalmente" e não publica números por país. O Infobae também traz a contagem da TrendAI (1.472.554 aparelhos de 206 modelos em mais de 170 países)2; também não menciona o Brasil nem a América Latina. Não sabemos quais modelos específicos circulam por aqui.