Resposta rápida: o Google anunciou em 2 de novembro de 2026 que derrubou a botnet XCPE, uma rede de mais de 1,3 milhão de TV boxes Android que vinham com um programa espião instalado de fábrica. Segundo o Google, a fabricante chinesa Videostrong Technology colocou o código de propósito no sistema dos aparelhos, e o Brasil aparece entre os países com mais aparelhos infectados. Se você tem uma TV box sem certificação Android TV, o mais seguro é tirá-la da rede e trocar por um aparelho homologado.
O que o Google descobriu
A equipe de inteligência de ameaças do Google Cloud publicou o relatório “Shutting the Door on the XCPE Botnet” contando que a botnet controlava mais de 1,3 milhão de set-top boxes, aquelas caixinhas que transformam qualquer TV em smart TV. O detalhe que assusta: não foi um app baixado por engano. De acordo com o Google, o programa malicioso, identificado como x.cpe (pacote com.oemservice), vinha embutido no firmware pela própria Videostrong, rodava com privilégio de sistema e se reinstalava sozinho a partir da pasta /oem/ mesmo depois de removido.
O relatório diz ainda que o programa desligava o Google Play Protect, a proteção que procura apps maliciosos no Android. Com o caminho livre, os operadores baixavam módulos extras para três tipos de golpe:
- Proxy residencial: a internet da sua casa era “alugada” para terceiros navegarem como se fossem você. O Google cita módulos ligados a serviços como Linkfog, AppSalt (Honeygain), NetNut, Traffmonetizer e EarnFM.
- Fraude de anúncios: a TV box abria e clicava em propagandas escondidas, com módulos chamados HiddenView e Fission.
- Portas dos fundos: módulos como Moyu, Bird e Spirit permitiam controle remoto do aparelho. O Google relata que os operadores chegaram a tirar capturas de tela, simular digitação e copiar dados de contas.
O Brasil está entre os mais afetados
O próprio Google não publicou um ranking por país, mas a TrendAI, parceira na investigação, disse à CyberScoop que as maiores concentrações de aparelhos estavam na Malásia, no Brasil, no Iraque, no México e em Taiwan, com infecções em mais de 170 países. Faz sentido: a TV box barata de marca desconhecida é um item popular por aqui, muitas vezes vendida com promessa de “liberar canais”.
O Google também diz que o mesmo código apareceu em aparelhos de telemedicina, máquinas de karaokê e telas de sinalização digital, ou seja, não é só a caixinha da sala.
O que o Google fez
- Derrubou os servidores de comando que davam ordens à botnet. Segundo o relatório, a ação cortou também o canal de pelo menos 10 milhões de outros aparelhos que dependiam da mesma infraestrutura.
- Baniu a Videostrong do programa de dispositivos Android certificados.
- Trabalhou com a Agência Nacional de Polícia do Japão, Lumen, HUMAN, Plume, Synthient e TrendAI.
Um ponto importante, publicado pelo BleepingComputer: derrubar os servidores não limpa os aparelhos. O código continua instalado na TV box. Só um firmware limpo do fabricante ou desligar o aparelho da internet resolve de verdade.
Como saber se a sua TV box é segura
Não existe um botão “estou infectado”, mas dá para separar o aparelho confiável do suspeito em poucos minutos:
- Veja se é Android TV ou Google TV certificado. Aparelhos certificados mostram a Play Store oficial, recebem atualizações do Google Play Protect e aparecem na lista de parceiros Android TV do Google. Caixas com “Android 12” genérico, loja alternativa e sem a marca do fabricante na tela inicial são as que mais preocupam.
- Abra a Play Store e procure o Play Protect. No menu do perfil, em Play Protect, o aparelho deve dizer que a verificação está ativa. Se a opção não existe ou não liga, desconfie.
- Procure o selo da Anatel. Caixa vendida sem homologação já é um sinal de alerta, além de ser irregular no Brasil.
- Desconfie de apps que pagam pela sua “internet sem uso”. O Google cita esse tipo de promessa como porta de entrada dos módulos de proxy.
- Repare na rede. Internet lenta sem motivo quando a TV box está ligada, mesmo sem ninguém assistindo, merece investigação no app do roteador.
O que fazer se você desconfia da sua
- Tire a TV box da tomada e do Wi-Fi. Restaurar o padrão de fábrica não adianta neste caso, porque o código mora no próprio firmware.
- Troque as senhas das contas que você usou nela (Google, streaming, redes sociais) a partir de outro aparelho.
- Se precisar manter a caixa ligada por um tempo, coloque-a numa rede separada do roteador, longe do celular, do notebook e das câmeras. O Guia vai detalhar como montar essa rede separada num passo a passo próprio.
- Considere um aparelho de streaming certificado. Opções vendidas oficialmente no Brasil, como Fire TV Stick, Roku Streaming Stick e o Intelbras Izy Play Stick (homologado pelo Google, segundo a fabricante), custavam a partir de R$ 259 à vista na Amazon em 03/11.
Se a sua TV já é smart, vale aproveitar e revisar a privacidade dela também: mostramos como desligar o ACR nas TVs Samsung, LG e Roku TV.
Para quem vale se preocupar
- Quem comprou TV box sem marca conhecida em marketplace ou camelô, principalmente as que prometem canais pagos de graça.
- Quem tem câmeras, Alexa e notebook de trabalho na mesma rede Wi-Fi da TV box.
- Pequenos negócios com telas de propaganda ou karaokê de origem desconhecida.
Quando pular a preocupação
- Se você usa apenas o sistema da própria smart TV (Samsung, LG, Roku TV, Google TV de marca conhecida).
- Se o seu aparelho de streaming é de marca grande e certificado, como Fire TV, Roku, Apple TV ou Chromecast com Google TV.
Fontes
Relatório oficial do Google Cloud Threat Intelligence: Shutting the Door on the XCPE Botnet (2/11/2026). Dados por país atribuídos à TrendAI pela CyberScoop; observação sobre o código permanecer nos aparelhos publicada pelo BleepingComputer.