Google derruba botnet com 1,3 milhão de set-top boxes Android

Segurança Digital

Google elimina rede de dispositivos infectados que realizavam ataques cibernéticos e fraudes online.

Leia também: Testes independentes mostram ranking real das 12 plataformas WAAP

O Google desativou o botnet XCPE, que controlava ao menos 1,3 milhão de set-top boxes Android TV da chinesa Videostrong Technology Co. e outros dispositivos IoT no mundo, transformando a internet dos usuários em proxies residenciais alugados para fraudes on-line, ataques DDoS e raspagem em massa de conteúdo para projetos de inteligência artificial.

Botnet usava TVs como proxies para crimes digitais

De acordo com o Google Threat Intelligence Group (GTIG), o malware vinha instalado de fábrica em set-top boxes Android TV da Videostrong e em outros equipamentos Android, como aparelhos de telemedicina, máquinas de karaokê e sistemas de sinalização digital. Em muitos casos, o código malicioso era ativado logo na primeira inicialização do aparelho, sem qualquer aviso ao usuário.

O XCPE transformava esses dispositivos em pontos de acesso para serviços de “proxy residencial”, que revendem endereços de internet de pessoas comuns para terceiros que querem mascarar localização ou identidade na rede. Esse tipo de infraestrutura é amplamente usado em tentativas de tomada de contas, fraude publicitária e raspagem automatizada de dados para treinar sistemas de IA.

“Videostrong monetizou a backdoor vendendo acesso a afiliados criminosos e carregando módulos de malware desses afiliados nos dispositivos infectados”, afirmou o Google Threat Intelligence Group, classificando a prática como um uso deliberado da base de clientes para alimentar esquemas ilegais.

Entenda o contexto

Botnets são redes de dispositivos comprometidos por malware e controlados à distância por operadores criminosos. No caso do XCPE, o alvo não eram computadores tradicionais, mas equipamentos conectados que se multiplicaram nas casas e empresas nos últimos anos, como TVs, caixas de streaming e outros aparelhos de internet das coisas (IoT).

Além dos 1,3 milhão de set-top boxes Android TV já identificados, especialistas envolvidos na operação estimam que o desmantelamento do XCPE deve cortar o acesso a mais de 10 milhões de dispositivos IoT potencialmente comprometidos. O impacto atinge não só consumidores, mas também redes de publicidade digital, provedores de internet e plataformas de streaming, que sofrem com tráfego fraudulento e sobrecarga gerada por esse tipo de botnet.

Ação legal e reforço de segurança no Android

Para desarticular o XCPE, o Google entrou com ações legais para derrubar domínios e servidores usados para comandar a rede e instalar novos módulos de malware. A empresa também cortou relações comerciais com a Videostrong e reforçou os testes de compatibilidade e segurança exigidos de fabricantes de dispositivos Android, corrigindo brechas que permitiam ao malware ser carregado logo após a primeira inicialização do aparelho.

“Um fabricante de dispositivos que infecta intencionalmente seus usuários com malware representa uma grave violação de confiança e risco sério para os usuários”, destacou o GTIG. Segundo o grupo, os aparelhos infectados foram oferecidos, sem conhecimento ou consentimento dos donos, como infraestrutura para “uma ampla gama de atores criminosos”.

O relatório do Google lista vários provedores de proxies residenciais cujos kits de desenvolvimento eram baixados rotineiramente pelos dispositivos infectados, entre eles AppSalt (também conhecido como Honeygain), NetNut, EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb e GaGaNode. A AppSalt/Honeygain pertence ao grupo que, neste ano, passou a operar sob a marca Source, após receber US$ 130 milhões em investimento e atingir avaliação de US$ 3,6 bilhões.

A NetNut já vinha na mira das autoridades e foi alvo de uma operação do FBI em julho, quando centenas de domínios ligados a outro botnet, o Popa, foram confiscados. Na ocasião, a polícia americana apontou a empresa como responsável por operar uma rede de proxies residenciais baseada em TV boxes comprometidas.

Colaboração com FBI, startups e setor audiovisual

O desmantelamento do XCPE foi resultado de um esforço conjunto entre o Google, empresas de monitoramento de botnets, autoridades policiais e entidades da indústria do entretenimento. A startup Synthient, especializada em rastrear provedores de proxies, teve papel central na identificação de padrões de infecção e de comunicação dos dispositivos.

No início do ano, a Synthient já havia detalhado a atuação de outro botnet de grande escala, o Kimwolf, responsável por ataques de negação de serviço (DDoS) em redes de todo o mundo ao explorar vulnerabilidades em serviços de proxy residencial. O estudo levou dezenas de provedores a corrigirem falhas, o que fragmentou a operação criminosa e facilitou a contenção dos ataques.

O trabalho da Synthient também atraiu a Motion Picture Association (MPA), entidade que representa grandes estúdios de Hollywood. Em parceria com a startup, a MPA comprou e desmontou diversos modelos de Android TV boxes para mapear como eram infectados por botnets como Kimwolf e, agora, XCPE. Em um relatório recente, a Synthient mostrou que caixas de TV da marca MECOOL, da chinesa Skyworth Technology, também traziam o malware da Videostrong pré-instalado, além de componentes de AppSalt/Honeygain e outros provedores de proxies.

Impacto para usuários e mercado de IoT

Na prática, a queda do XCPE significa que mais de 1,3 milhão de pessoas deixam de ter suas conexões de internet alugadas, sem saber, para operações criminosas globais. A estimativa de que mais de 10 milhões de dispositivos IoT possam ser afetados amplia o alcance da proteção, reduzindo o volume de fraudes publicitárias, ataques DDoS e raspagem de conteúdo usada em projetos de inteligência artificial.

Para usuários domésticos, o risco não se limita ao consumo de banda e à lentidão da rede: ter o endereço de internet associado a golpes, invasões de contas ou violações de direitos autorais pode levar a bloqueios e investigações indevidas. Já para o ecossistema digital, menos proxies residenciais comprometidos significam menos “camuflagem” para grupos criminosos se esconderem atrás de IPs legítimos.

A operação aumenta a pressão sobre fabricantes de dispositivos Android em todo o mundo. A expectativa no setor de segurança é que empresas que produzem TVs conectadas, TV boxes e outros equipamentos IoT passem a adotar rotinas de auditoria de firmware mais rígidas, validação independente de software embarcado e políticas transparentes sobre qualquer mecanismo de monetização baseado no tráfego de dados dos usuários.

Do lado oposto, companhias que lucram com o aluguel de conexões residenciais e se apoiam em botnets desse tipo perdem uma infraestrutura valiosa para suas operações, o que tende a tornar mais caro e arriscado manter esquemas semelhantes. Autoridades como o FBI indicam que devem intensificar a fiscalização sobre o mercado de proxies residenciais, com foco em provedores que não conseguem demonstrar a origem legítima do tráfego que oferecem.

O caso XCPE passa agora a servir de referência para futuras ações contra botnets que exploram a internet das coisas. A avaliação, entre empresas de tecnologia e investigadores, é que operações coordenadas entre setor privado, governo e entidades de classe serão cada vez mais necessárias para mitigar riscos globais à infraestrutura da internet e à privacidade dos usuários.