Operação conjunta derruba rede de proxies residenciais maliciosos
O Google anunciou hoje o desmantelamento de uma botnet batizada de XCPE que comprometeu mais de 1,3 milhão de set-top boxes Android. A ação coordenada com parceiros da indústria mirou a Videostrong Technology Co., fabricante chinesa identificada pelo Google Threat Intelligence Group (GTIG) como responsável por inserir o código malicioso nos dispositivos durante a fabricação.
O malware transforma a conexão de internet das vítimas em proxies residenciais revendidos para anonimizar tráfego suspeito, fraudes publicitárias e raspagem massiva de conteúdo para projetos de inteligência artificial. Segundo o relatório do GTIG, a Videostrong monetizava o backdoor vendendo acesso a afiliados criminosos e carregando módulos adicionais de malware nos equipamentos infectados sem conhecimento ou consentimento dos usuários.
Além dos decodificadores de TV, a mesma praga foi encontrada em outros produtos baseados em Android, como dispositivos de telemedicina, máquinas de karaokê e sistemas de sinalização digital. Especialistas estimam que a ação deve cortar o acesso da botnet a mais de 10 milhões de sistemas adicionais comprometidos.
Cadeia de proxies residenciais exposta
A investigação cita diversos provedores de proxy residencial cujos kits de desenvolvimento eram baixados rotineiramente pelos dispositivos infectados. Entre eles estão AppSalt (também conhecido como Honeygain), pertencente à Oxylabs, sediada em Vilnius, Lituânia. Em outubro de 2026, a Oxylabs foi relançada sob a marca Source após receber 130 milhões de dólares do fundo Warburg Pincus, em negócio que avaliou a empresa em 3,6 bilhões de dólares.
Outro nome ligado à rede é a NetNut, operada pela israelense Alarum Technologies. Em julho de 2026, o FBI apreendeu centenas de domínios associados à NetNut, acusada de operar a botnet Popa, que também escravizava TV boxes como proxies. A lista inclui ainda EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb e GaGaNode.
Pesquisa independente acelerou a resposta
O anúncio do Google credita a Synthient, startup especializada em rastreamento de provedores de proxy. Em janeiro de 2026, a empresa publicou análise sobre a propagação da botnet Kimwolf, que infectou milhões de set-top boxes Android da noite para o dia explorando vulnerabilidades generalizadas nesses serviços de proxy. O trabalho forçou dezenas de provedores a corrigir suas redes, fragmentando a Kimwolf em partes menores e facilitando a mitigação dos ataques DDoS recordistas.
A pesquisa atraiu a atenção da Motion Picture Association (MPA), que firmou parceria com a Synthient para adquirir e dissecar decodificadores populares infectados pela Kimwolf e outras botnets de IoT. Em relatório publicado hoje, a Synthient examinou um TV box da marca MECOOL, vendida pela Skyworth Technology (empresa de capital aberto na China), concluindo que o equipamento também empacotava o malware da Videostrong e instalava componentes da AppSalt/Honeygain e outros proxies.
Marketing de influenciadores e streaming pirata
O fundador da Synthient, Ben Brundage, confirmou que o malware da Videostrong também distribuía software do serviço de proxy Grass. Reportagem anterior do KrebsOnSecurity já havia identificado o dispositivo Superbox com o componente residencial da Grass, embora o fundador do serviço negasse vínculo com o fabricante. Tanto Superbox quanto MECOOL conquistam clientes principalmente via influenciadores no TikTok e outras redes sociais, prometendo centenas de canais de TV paga pirata por taxa única.
Com informações de: Krebs on Security