O banimento da Videostrong pelo Google prova que o selo "certificado" não basta

A lição fácil da maior história de botnet de Android TV do ano é "não compre TV boxes suspeitas". É um bom conselho. Mas não conta a história toda e livra a cara de quem deveria ter percebido o problema.

Veja o que aconteceu. Como informa o BGR, o Google rompeu relações com a Videostrong Technology, fabricante sediada na China, depois que mais de 1,3 milhão de suas TV boxes Android foram encontradas executando um backdoor chamado XCPE. O Threat Intelligence Group do Google diz ter alta confiança de que a Videostrong criou o backdoor e o instalou de propósito, vendendo depois o acesso a grupos criminosos. O Google e várias empresas de segurança derrubaram a botnet na semana passada.

Os detalhes são feios. O malware vinha no firmware, rodava com privilégios de sistema e, segundo o Google, era usado para coisas como fraude em anúncios e redes de proxies residenciais. Em alguns casos, os operadores chegavam a fazer capturas de tela ao vivo e extrair informações de contas. O Brasil está entre os países mais atingidos; o O Globo o destaca na manchete como o segundo mais afetado, embora também tenham aparecido boxes infectadas nos Estados Unidos.

O selo de certificado deveria impedir exatamente isso

O detalhe que deveria incomodar todo mundo é que a Videostrong não era uma fabricante de clones de fundo de quintal. Era uma parceira Android certificada. O Google obriga essas fabricantes a passar os dispositivos por testes de compatibilidade e segurança antes de poderem vendê-los com os aplicativos do Google. Segundo o BGR, a Videostrong escondeu seu código para que os testes não o detectassem, carregando-o só depois da primeira inicialização.

Portanto, a história arrumadinha, "certificado é seguro, não certificado é armadilha", não resiste aos fatos. Nossa opinião: a certificação continua sendo a melhor aposta, porque pelo menos dá a você um responsável e uma empresa capaz de puxar o plugue, como o Google acabou de fazer. Mas é um filtro, não uma garantia. Um teste que é cumprido no dia zero e pode ser driblado esperando a segunda inicialização é um teste escrito para fabricantes honestos.

Para ser justo, o Google diz ter atualizado seu processo de revisão para que outros não consigam passar malware pelos testes do mesmo jeito. É a atitude certa. Mas também é admitir que o processo antigo tinha uma brecha, e foi preciso mais de um milhão de dispositivos para encontrá-la.

As boxes baratas são onde os incentivos se desvirtuam

Nada disso faz do hardware barato uma escolha segura. Faz dele uma escolha pior. Quando uma box é vendida por muito pouco, a margem precisa vir de algum lugar, e a Videostrong achou um: alugar os dispositivos dos clientes e as conexões de internet de suas casas. A Synthient, uma das empresas de segurança envolvidas, diz que comprou uma Mecool KM9PRO Max no fim de 2025 e encontrou o backdoor já instalado. Ela também afirma que boxes assim são populares entre quem quer instalar aplicativos de terceiros para burlar DRM.

É um ponto que destacaríamos, como opinião e não como fato: quem procura uma box que faz o que os dispositivos convencionais não fazem também dificilmente vai olhar a certificação. Ninguém deve ser culpado por querer uma TV box barata. Mas o preço que você não vê é que sua rede, e possivelmente suas contas, passam a fazer parte do negócio de outra pessoa.

A limpeza é desagradável. O Google descobriu que o XCPE pode desativar a verificação de aplicativos do Play Protect e que, se você remover o backdoor, ele se reinstala a partir do firmware na próxima reinicialização. A recomendação da Synthient é tirar os dispositivos da sua rede, trocar a senha do Wi-Fi e atualizar o firmware do roteador. Segundo o BGR, a empresa estima que cerca de meio milhão das 1,3 milhão de boxes ainda se conectem diariamente aos servidores dos operadores. A Synthient também publicou uma lista com mais de 180 modelos de dispositivos ligados à campanha, embora a presença de um modelo na lista não confirme que determinada unidade esteja comprometida.

O que os compradores devem fazer e o que o Google lhes deve

Para os compradores: se você tem uma box de marca desconhecida, veja se o seu modelo está na lista da Synthient e, se estiver, considere desligá-la da tomada. Na hora de comprar, prefira dispositivos de fabricantes com uma reputação real a perder e trate um preço anormalmente baixo como sinal de alerta, não como pechincha. E não entenda "certificado pelo Google" como "auditado para sempre".

Para o Google: proibir a Videostrong de fabricar dispositivos certificados ou fornecer software a outras fabricantes certificadas é uma resposta forte, e a ação judicial contra os domínios e servidores também importa. Mas a ordem dos acontecimentos está invertida. O banimento veio depois do dano. Verificações de comportamento após a inicialização, auditorias por amostragem de unidades já vendidas e mais escrutínio sobre firmware que mantém acesso privilegiado deveriam ser padrão em um programa que permite a uma empresa pôr o nome do Google na caixa.

Nosso veredito: fique com dispositivos certificados, mas pare de tratar o certificado como o fim da conversa. O caso Videostrong mostra que é na cadeia de suprimentos que a confiança se ganha ou se perde, e o Google, como quem distribui o selo, precisa olhar para lá mais cedo do que desta vez.