Google lidera desmantelamento de botnet escondida em 1,3 milhão de aparelhos de TV

Uma coalizão formada por Google, Plume, TrendAI, Lumen, HUMAN Security e Synthient — em parceria com a Agência Nacional de Polícia do Japão — desmantelou a X.CPE, uma botnet embutida no firmware de mais de 1,3 milhão de decodificadores de TV em mais de 200 países antes mesmo de os aparelhos serem vendidos. Como o malware já vinha integrado ao próprio hardware, os assinantes nunca receberam pedido de consentimento, aviso ou opção de recusa, diferentemente de infecções que exigem que alguém abra um anexo ou instale um aplicativo.

A botnet transformou conexões de banda larga doméstica comprometidas em um negócio, segundo os parceiros da operação: revendia largura de banda, distribuía conteúdo de vídeo, praticava fraude publicitária, adicionava backdoors e, em versões anteriores, forçava a instalação de aplicativos pagos, tudo sem o conhecimento dos donos dos aparelhos. O desmantelamento também interrompeu a infraestrutura de comando e controle ligada aos afiliados criminosos que distribuíam os módulos de fraude do malware; como esses afiliados também espalham suas ferramentas por outros canais, a Google estima que o fechamento desses domínios vai cortar o acesso a pelo menos 10 milhões de dispositivos comprometidos adicionais.

A X.CPE foi projetada para escapar das verificações de segurança anteriores ao lançamento antes de chegar aos assinantes, o que levou a Google a atualizar seu processo de revisão e banir o fabricante responsável pelo aparelho — junto com quaisquer subsidiárias ou afiliadas futuras — de fabricar dispositivos com aplicativos da Google pré-instalados. “Operações como esta aumentam o custo para os criminosos e mostram que a infraestrutura da qual eles dependem não está fora de alcance”, disse Charley Snyder, chefe de operações de disrupção no Google Threat Intelligence Group. “Desmantelar a X.CPE exigiu que parceiros de toda a indústria trabalhassem juntos. É prova de que a colaboração é uma das ferramentas mais poderosas que temos contra ameaças que cruzam fronteiras e indústrias.”

Por que importa

O caso mostra como um ataque à cadeia de suprimentos pode se esconder dentro de um hardware que parece e funciona normalmente, transformando uma caixa de streaming comprada de boa-fé em infraestrutura não remunerada para fraude e abuso de proxies residenciais, em uma escala que só uma cooperação entre indústrias e fronteiras conseguiu desmontar.