Google identifica 1,3 milhão de aparelhos Android TV infectados por vírus, Brasil tem 150 mil casos

Cerca de 1,3 milhão de aparelhos Android TV foram infectados por um programa malicioso que permitia a criminosos controlar os equipamentos remotamente e utilizar conexões residenciais para atividades ilegais. O Brasil aparece entre os países mais afetados, com aproximadamente 150 mil dispositivos comprometidos, segundo levantamento de empresas de segurança digital.

A investigação foi divulgada em 2 de novembro pelo Grupo de Inteligência de Ameaças do Google. O relatório atribui, com alto grau de confiança, a criação e a operação do esquema à fabricante chinesa Videostrong Technology, sediada em Shenzhen. A empresa teria incorporado deliberadamente o código malicioso, identificado como XCPE, ao sistema de diferentes modelos e marcas de aparelhos.

De acordo com o Google, a operação funcionava como uma rede criminosa organizada. A fabricante permitia que grupos terceiros comprassem acesso aos dispositivos infectados e instalassem outros módulos maliciosos. Os equipamentos eram utilizados para fraudes publicitárias, coleta de informações e retransmissão de tráfego pela internet dos consumidores, sem conhecimento ou autorização dos proprietários.

Brasil está entre os países mais afetados

Dados da TrendAI, unidade de segurança cibernética da Trend Micro, apontam que foram identificados casos em mais de 170 países. A Malásia lidera o levantamento, com quase 301 mil ocorrências, seguida pelo Brasil, com cerca de 150 mil. Iraque, México e Taiwan também aparecem entre os territórios com maior número de dispositivos atingidos.

A análise, realizada entre junho e outubro de 2026, identificou aproximadamente 1,3 milhão de aparelhos infectados e 3,8 milhões de endereços IP residenciais utilizados para retransmitir tráfego de forma irregular.

Embora a maioria dos equipamentos comprometidos fosse formada por decodificadores de TV com Android, a investigação também encontrou o programa em aparelhos de telessaúde, máquinas de karaokê e equipamentos de sinalização digital, usados, por exemplo, em telas de publicidade e cardápios eletrônicos.

Vírus vinha instalado de fábrica

Um dos aspectos mais preocupantes da investigação é que os consumidores não precisavam baixar aplicativos suspeitos ou clicar em links para serem afetados. O código era incorporado ao firmware, software responsável pelo funcionamento do aparelho, e podia permanecer instalado desde a fabricação.

Segundo o Google, a Videostrong utilizava técnicas para esconder o programa durante os testes de segurança e instalá-lo depois da primeira inicialização do equipamento. A empresa identificou indícios de que a prática ocorria pelo menos desde o fim de 2024.

O malware também tinha mecanismos para dificultar sua remoção. Parte do código ficava armazenada em uma área protegida do sistema, permitindo sua reinstalação automática após a reinicialização. Em alguns aparelhos, a ferramenta de proteção Google Play Protect também era desativada.

Google derruba servidores e bane fabricante

Para interromper a operação, o Google adotou medidas legais para retirar do ar os domínios e servidores utilizados no controle da rede XCPE. A ação contou com a colaboração de empresas como Lumen, HUMAN Security, Plume, Synthient e TrendAI, além da Agência Nacional de Polícia do Japão.

A companhia também encerrou sua relação comercial com a Videostrong e proibiu a fabricante, suas futuras subsidiárias e afiliadas de produzir e comercializar dispositivos certificados com aplicativos e serviços do Google pré-instalados, além de fornecer software a outros fabricantes certificados.

Segundo o Google, a derrubada dos servidores de comando e controle da operação também interrompeu o acesso de criminosos a pelo menos outros 10 milhões de dispositivos comprometidos, incluindo equipamentos que não são necessariamente Android.

A empresa, porém, alerta que o problema exige acompanhamento contínuo, pois grupos criminosos podem migrar para outras infraestruturas e programas maliciosos.

O que os consumidores devem fazer

O Google recomenda que usuários mantenham as proteções de segurança, como o Google Play Protect, ativadas e comprem aparelhos conectados à internet apenas de fabricantes confiáveis. Também orienta atenção a aplicativos que oferecem pagamento em troca do compartilhamento de banda larga residencial, prática que pode transformar dispositivos em pontos de retransmissão de tráfego de terceiros.

A derrubada dos servidores interrompeu a comunicação da rede criminosa, mas não significa necessariamente que o código malicioso tenha sido removido do firmware dos aparelhos infectados. Por isso, consumidores que suspeitem de comprometimento devem procurar o fabricante ou o vendedor para verificar a existência de atualização segura ou possibilidade de substituição do equipamento.