Por que sua TV box infectada pode estar arruinando sua internet

O "proxy residencial": o que é e por que interessa a um criminoso

Um proxy residencial é uma conexão de internet doméstica normal — com um IP do seu próprio provedor, o mesmo que você usa para assistir streaming ou fazer um trâmite — que um terceiro usa para rotear o próprio tráfego. Para serviços antifraude e firewalls, o tráfego que sai de um IP residencial "real" parece muito mais confiável do que o de um datacenter, então essas redes se tornaram uma ferramenta central para esconder atividade maliciosa em grande escala¹.

O problema é como essas redes são montadas: recrutando aparelhos domésticos infectados, sem que os donos saibam ou autorizem.

Google desarticulou uma das maiores redes do mundo — e citou TV boxes explicitamente

Em janeiro de 2026, o Google publicou o desmantelamento da IPIDEA, descrita como uma das maiores redes de proxy residencial do mundo: milhões de aparelhos retirados do pool, cerca de 7.400 servidores de comando e controle de "Tier Two" identificados, e mais de 600 aplicativos Android encontrados com código de proxy da IPIDEA integrado. Em um único período de 7 dias, mais de 550 grupos de ameaças diferentes usaram nós de saída dessa rede².

"Pesquisadores encontraram anteriormente aparelhos Android Open Source Project sem certificação e de marca genérica, como set-top boxes de televisão, com payloads de proxy residencial ocultos."
— Google Threat Intelligence, blog oficial do Google Cloud²

Essa citação é textual do próprio blog do Google. Não é uma inferência do AMK: é a conclusão da pesquisa que motivou o desmantelamento da rede.

Aisuru: de ataques DDoS a revender sua conexão

Aisuru é uma botnet identificada pela primeira vez em agosto de 2024, que infectou aproximadamente 700 mil aparelhos IoT (roteadores, câmeras de segurança e outros equipamentos conectados). Originalmente era usada para ataques DDoS recordes — chegou a gerar quase 30 terabits por segundo de tráfego — mas em 2025 seus operadores começaram a alugar os aparelhos infectados como proxy residencial em vez de (ou além de) usá-los para derrubar sites³.

Segundo Roland Dobbins, engenheiro da Netscout citado pelo jornalista de segurança Brian Krebs, o tráfego de ataque de saída desses equipamentos infectados superou 1 terabit por segundo em alguns casos, causando "uma disrupção significativa nas redes de acesso de banda larga cabeadas e sem fio"³. Em outras palavras: não é só o dono do aparelho infectado que é prejudicado — o volume de tráfego gerado pode degradar o serviço de outros clientes do mesmo provedor.

A mesma cobertura do Krebs on Security menciona especificamente o BADBOX 2.0 como uma das operações relacionadas, comprometendo "TV boxes inteligentes, projetores digitais, sistemas de infotainment veicular, porta-retratos digitais" e outros aparelhos IoT³.

O que isso significa para sua banda de upload

A maioria das conexões domésticas é pensada para baixar muito mais do que enviar: assistir streaming, navegar, jogar online. Quase nenhum app doméstico legítimo usa 100% da sua banda de upload de forma sustentada. Um aparelho transformado em nó de proxy residencial faz exatamente isso: reencaminha tráfego alheio de forma contínua, em segundo plano, consumindo exatamente o recurso que você menos monitora e que seu roteador quase nunca mostra em detalhe.

Isso explica um sintoma muito concreto e frequente: internet que "fica lenta" principalmente para chamadas, videoconferências ou jogos ao vivo — atividades sensíveis ao upload — sem que baixar um arquivo ou assistir streaming pareça especialmente afetado.

O risco não termina na velocidade

Segundo a própria análise do Google sobre a IPIDEA, um aparelho transformado em "nó de saída" de um proxy residencial expõe três problemas além da velocidade²:

• Vulnerabilidades de segurança: o próprio software de proxy introduz brechas de segurança no aparelho e na sua rede doméstica.
• Exposição do resto da sua rede: quando seu aparelho vira nó de saída, tráfego que você não controla passa por ele — o que pode dar a um invasor acesso a outros aparelhos da mesma rede.
• Reputação do seu próprio IP: sua conexão pode acabar marcada como suspeita ou bloqueada por outros serviços, sem que você tenha feito nada de errado.

O que fazer

Se você tem uma TV box genérica, principalmente uma barata ou sem marca reconhecida, é exatamente o tipo de aparelho que essas investigações apontam como alvo. O AMK analisa o sistema real do seu equipamento — não só o que você vê na tela — e compara contra um catálogo de ameaças construído com esse mesmo tipo de pesquisa real, incluindo apps de fraude publicitária e proxy residencial conhecidos.