O Google, Plume, TrendAI™, Lumen, HUMAN Security, Synthient e a Agência Nacional de Polícia do Japão formaram uma ação coordenada, combinando pesquisa de segurança, inteligência de ameaças e expertise em cibersegurança para identificar e combater a botnet X.CPE.
Mountain View, Califórnia, Estados Unidos, 2 de novembro de 2026 /PRNewswire/ — Hoje, um grupo de parceiros dos setores privado e público anunciou a coordenação da remoção do X.CPE. Trata-se de uma botnet global escondida em mais de 1,3 milhão de set-top boxes em mais de 200 países. O malware foi implantado antes da venda dos dispositivos, utilizando os equipamentos e as conexões à internet doméstica dos assinantes para operar sem o conhecimento ou consentimento dos usuários. A operação de remoção foi liderada pelo Google, Plume, TrendAI™, Lumen, HUMAN Security e Synthient, com a participação do Departamento Nacional de Polícia do Japão.
Charley Snyder, responsável pela operação de combate ao grupo de inteligência de ameaças do Google, disse: “Essas operações aumentam o custo para os criminosos e demonstram que a infraestrutura na qual eles dependem não é inacessível. A remoção do X.CPE exige colaboração entre parceiros do setor. Isso prova que a colaboração é uma das nossas ferramentas mais poderosas para enfrentar ameaças que atravessam fronteiras e setores.”
Um dispositivo familiar, escondendo uma ameaça desconhecida
O X.CPE foi incorporado ao firmware, ou seja, o software que controla a operação básica do dispositivo, e foi implantado antes que o set-top box chegasse à casa do assinante. O X.CPE foi projetado para contornar as verificações de segurança pré-lançamento; desde então, o Google atualizou seus processos de revisão e proibiu o fabricante original (OEM) relevante, bem como qualquer futura filial ou empresa associada, de produzir dispositivos com aplicativos do Google pré-instalados. Diferentemente de infecções que dependem do usuário abrir anexos suspeitos ou instalar aplicativos, essa ameaça chegou como parte integrante do próprio dispositivo. Os assinantes não receberam solicitações de consentimento, notificações ou opções de recusa.
O Google, o Plume, o TrendAI™, o Lumen, o HUMAN Security e o Synthient, em cooperação com o Departamento Nacional de Polícia do Japão, realizaram uma operação coordenada contra o X.CPE. Cada instituição aplicou suas competências específicas em segurança de dispositivos conectados, análise de malware, visibilidade em rede e fraude digital para analisar e desabilitar a operação dessa botnet.
Essas instituições conjuntamente removeram uma ameaça escondida atrás de atividades aparentemente normais de dispositivos: software embutido em set-top boxes fornecia acesso remoto a controladores de botnets, permitindo-lhes utilizar conexões de banda larga domésticas sem o consentimento dos usuários assinantes. A operação de remoção também comprometeu os domínios de comando e controle usados para operar módulos de malware associados a atividades criminosas. Como esses agentes também distribuíam seus módulos por canais além do X.CPE, o Google considera que o bloqueio desses domínios cortará o acesso de pelo menos 10 milhões de dispositivos infectados adicionais.
Essa ação demonstra que conectar inteligência entre organizações é essencial para enfrentar ameaças que atravessam fronteiras tecnológicas e de rede. Os parceiros reuniram perspectivas distintas sobre dispositivos infectados, malware e tráfego da internet, apoiando esta operação coordenada de remoção, com o objetivo de interromper o acesso não autorizado e a monetização, além de mitigar os riscos à privacidade dos usuários assinantes, aos recursos de banda larga e à confiança nos dispositivos conectados.
Transformar a conexão residencial em um negócio sem permissão
A botnet gera receita de várias maneiras a partir de dispositivos infectados, incluindo a revenda de largura de banda, transmissão de conteúdo de vídeo, fraude publicitária, carregamento de backdoors adicionais e instalação de aplicativos pagos nas versões anteriores.
Para provedores de serviços, essas descobertas destacam riscos na cadeia de suprimentos que podem não ser evidentes a partir do desempenho diário do dispositivo. Um set-top box de streaming funcionando normalmente ainda pode gerar tráfego inexplicável e minar a confiança no serviço de banda larga.
Competências profissionais complementares, ações coordenadas
Os parceiros apoiaram a operação de limpeza liderada pelo Google:
- TrendAI™: Robert McArdle, Diretor de Pesquisa de Crime Cibernético da TrendAI™, disse: "Agradecemos a ação decisiva do Google para eliminar essa ameaça. Nossa pesquisa identificou mais de 1,3 milhão de dispositivos afetados por esta campanha. Isso significa que milhões de lares e empresas não têm ideia de que seus dispositivos estão sendo usados como ferramentas associadas a atividades criminosas ativas — seja para enganar anunciantes ou para emprestar suas conexões por meio de proxies residenciais com o fim de realizar outros ataques, frequentemente incluindo roubo de identidade fingindo serem pessoas da região onde estão localizados. A ação do Google e de seus parceiros de pesquisa retardou significativamente esses atacantes, e, se tentarem reconstruir, nossa pesquisa TrendAI continuará monitorando de perto."
- Gavin Reid, CIO da HUMAN, disse: “A rede de dispositivos infectados persiste graças ao lucro: os operadores controlam dispositivos e conexões domésticas sem consentimento e monetizam esse acesso por meio de serviços de proxy e diversas atividades fraudulentas. Como esta operação demonstra, a colaboração em grupo corta a infraestrutura necessária para a monetização, aumenta os custos de operação dessas redes e enfraquece os incentivos que as sustentam.”
- Synthient: O CEO da Synthient, Benjamin Brundage, disse: "Redes ilegais de pagamento por instalação fornecem um pilar importante para um ecossistema maior de fraude, impulsionando atividades que variam desde fraude publicitária direta até redes de agentes não regulamentadas, que por sua vez impulsionam enchimentos de credenciais e botnets DDoS. Remover o X.CPE ajuda a proteger globalmente esse espaço e também protege os consumidores inocentes que sofreram com esse programa."
Pesquisa e recursos:
- Google: https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet
- Plume: http://www.plume.com/xcpe-botnet-whitepaper-pdf
- TrendAI™: https://www.trendaisecurity.com/en-us/resources-insights/trendai-security-blog/trendaitm-research-helps-disrupt-android-tv-botnet-of-more-than-13-million-pre-infected-devices
Sobre o Plume
Sobre o TrendAI™
TrendAI™ é o líder global em segurança com IA da Trend Micro e seu segmento corporativo, ajudando organizações a alcançar visibilidade completa, governança e integração de segurança da IA para aumentar a confiança, impulsionar a inovação e eliminar riscos. TrendAI™ é confiável por grandes empresas e instituições governamentais em 185 países, protegendo toda a organização, desde identidades até infraestrutura e dados. As empresas da Fortune Global 500 confiam no TrendAI™ para antecipar em até 115 dias a detecção de ameaças, utilizando as melhores inteligências de ameaças e ataques do mundo. Para mais informações, visite trendaisecurity.com.
Sobre o Lumen
Lumen Technologies conecta pessoas a dados e aplicações por meio de sua rede e serviços tecnológicos. Sua equipe de pesquisa e operações de ameaças Black Lotus Labs utiliza a visibilidade global da rede para identificar atividades maliciosas, gerar inteligência de ameaças e ajudar a proteger empresas e a internet. Para mais informações, visite Lumen Technologies.
Sobre a segurança da HUMAN
HUMAN Security ajuda organizações a proteger experiências digitais por meio da detecção e bloqueio de ameaças automatizadas, fraude e abuso. Sua tecnologia e inteligência de ameaças ajudam empresas e plataformas a validar interações digitais e construir confiança ao longo da jornada do cliente. Para mais informações, visite humansecurity.com.
Sobre o Synthient
A Synthient fornece inteligência para identificar proxies residenciais, VPNs e infraestrutura de botnets, ajudando organizações a avaliar riscos de tráfego e investigar abusos. Seus pesquisadores analisam redes de proxies, botnets e infraestrutura de adversários para revelar ameaças emergentes. Para mais informações, visite a Synthient.