CyberTVLab
← Todos os artigos

Análise · Por CYBERTVLAB ·

O problema das botnets de TV box: do BadBox ao Kimwolf

Há três anos que um dos veículos de distribuição de malware mais fiáveis da eletrónica de consumo é a TV box barata. As campanhas mudam constantemente. As condições de mercado que exploram, não.

Um padrão que se repete

As campanhas que se seguem não são uma única família de malware contínua. São operações distintas — grupos diferentes, código diferente, infraestruturas por vezes sobrepostas — que exploram sempre as mesmas condições: hardware Android de baixo custo, cadeias de abastecimento de firmware opacas, vias de atualização fracas ou inexistentes, e dispositivos que permanecem ligados, sem vigilância, durante anos.

As raízes técnicas são de facto profundas num ramo da história. Os investigadores da Kaspersky documentaram o trojan Triada em 2016 e descreveram-no como um dos trojans móveis mais avançados da sua época. As backdoors baseadas no Triada deram à linhagem BadBox a sua longevidade; outras campanhas chegaram aos mesmos dispositivos por outras vias. A Kaspersky, que investigou várias destas famílias, afirma ter confirmado ligações entre o Triada, o Vo1d e o BADBOX — infraestrutura C2 partilhada e um ataque de 2022 em que mods de WhatsApp continham tanto Triada como BADBOX, que os investigadores descrevem como «um ataque conjunto dos operadores do BADBOX e do Triada» — advertindo, ao mesmo tempo, que essas ligações não são necessariamente transitivas.

Os capítulos para o grande público chegaram depressa. Em 2023, a equipa Satori da HUMAN Security revelou o BadBox: cerca de 74.000 dispositivos com uma backdoor que os investigadores descreveram como baseada no Triada. Em setembro de 2024, a Doctor Web noticiou o Vo1d — uma backdoor completamente diferente — em quase 1,3 milhões de TV box Android em 197 países, implantada na partição de sistema, sem que o vetor de infeção tenha alguma vez sido estabelecido.

Depois chegou o BadBox 2.0. Revelado em março de 2025 pela HUMAN Security em conjunto com a Google, a Trend Micro e a Shadowserver Foundation, infetava cerca de um milhão de dispositivos no momento da divulgação — sobretudo hardware de marcas desconhecidas e não certificado: TV box, tablets, projetores e unidades de infoentretenimento para automóveis de pós-venda. A sua backdoor principal, a BB2DOOR, é descrita como baseada no Triada, e chegava aos dispositivos de três formas: um componente pré-instalado, código descarregado de um servidor remoto no primeiro arranque, e mais de 200 versões trojanizadas de aplicações populares distribuídas através de lojas de terceiros. Entre os modelos citados na investigação figuram o X96mini, o MXQ9PRO, o KM9PRO e o TV98 — quatro entradas de uma lista de 56 modelos em anexo ao relatório. Esses nomes dirão algo a quem já alguma vez percorreu um marketplace à procura de uma «smart TV box».

Foi observado tráfego de 222 países, e o sinkholing da Shadowserver mostrou que cerca de meio milhão de dispositivos continuava a contactar os seus servidores. A Google afirma ter atualizado o Play Protect para bloquear aplicações com comportamento de BadBox e, em julho de 2025, processou os operadores da operação no tribunal federal de Nova Iorque — descrevendo mais de dez milhões de dispositivos não certificados comprometidos ao longo da campanha. Esse número e o da HUMAN são ambos verdadeiros e medem coisas diferentes: pouco mais de um milhão de dispositivos observados na divulgação, em março de 2025; mais de dez milhões reivindicados cinco meses depois, para o conjunto da operação. Nenhum deles é um censo rigoroso.

Um nome de modelo numa lista de indicadores de uma investigação não prova que todas as unidades vendidas com esse nome estejam afetadas — as revisões de hardware, as versões de firmware e os lotes da cadeia de abastecimento variam. Verifique a versão exata antes de tirar conclusões sobre um dispositivo que possui.

E o padrão não parou. Em dezembro de 2025, a XLab da QiAnXin noticiou o Kimwolf, uma botnet DDoS de cerca de 1,8 milhões de dispositivos Android — televisores, set-top boxes, tablets — com hardware das marcas SuperBox e X96Q na sua lista de vítimas, atribuindo-a, com um elevado grau de confiança, ao grupo Aisuru — citando, entre outras provas, um certificado de assinatura partilhado e uma infraestrutura reutilizada. Em fevereiro de 2026, o estudo Keenadu da Kaspersky mostrou o mesmo guião da cadeia de abastecimento um nível mais abaixo: uma backdoor incorporada no firmware de dispositivos novos — tablets, em todos os casos analisados pelos investigadores — incluindo uma aplicação de sistema de desbloqueio facial que a Kaspersky descreveu como o primeiro trojan encontrado dentro de um serviço de reconhecimento facial. Em maio de 2026, a Kaspersky resumiu os resultados relativos a várias unidades SuperBox examinadas no final de 2025: um firmware que, no arranque, contactava servidores da aplicação de mensagens Tencent QQ e do serviço de proxy «Grass» — alugando, na prática, a ligação à Internet do proprietário — e que era fornecido com um scanner de rede, um analisador de tráfego e ferramentas de desvio de DNS prontas a usar. Em abril de 2026, essas boxes ainda eram vendidas abertamente nas grandes plataformas.

Esta última distinção importa, e vale para toda a cronologia: as ligações proxy foram observadas pelos investigadores; as capacidades de varrimento e de DDoS foram avaliadas a partir do código. «Capaz de» e «observado a fazer» são afirmações diferentes — e ambas merecem ser levadas a sério.

Por que razão as TV box

Nada disto é acaso. Uma TV box é um anfitrião quase ideal para este tipo de malware:

  • A economia premeia os atalhos. Fabrico de um dispositivo certificado — testes de compatibilidade, aplicações Google licenciadas, uma via de atualizações — custa dinheiro. É precisamente eliminando esses custos que uma box alcança um preço agressivo. A infeção acontece muitas vezes em algum ponto da cadeia de abastecimento, e a própria marca inscrita na box pode não saber disso.
  • Sempre ligadas, raramente vigiadas. Estes dispositivos ficam ligados e em serviço durante anos, muito depois de alguém os ter atualizado — e raramente alguém audita o que faz uma box de streaming.
  • Vivem na rede doméstica. Uma box na sala partilha o Wi-Fi com telefones, portáteis, NAS, câmaras e fechaduras inteligentes. O malware ali não fica isolado ali.

Para que serve realmente o malware

A fraude é mais banal — e mais rentável — do que uma tomada de controlo espetacular. A monetização documentada inclui fraude publicitária programática (anúncios e visualizações web ocultos), fraude de cliques, criação de contas falsas e uma das categorias com crescimento mais rápido: os proxies residenciais. Isto último significa que um desconhecido pode alugar a sua ligação à Internet e aparecer online como você. Do exterior, o tráfego proveniente do seu endereço IP pode acabar associado a fraude, spam e abuso — e as consequências visíveis (registos bloqueados, CAPTCHAs sem fim, serviços que tratam a sua ligação como hostil) recaem sobre a sua casa, não sobre o operador.

Os riscos a jusante documentados nestas campanhas incluem a tomada de controlo de contas, a interceção de OTP, o varrimento da rede doméstica e uma manipulação de DNS que pode redirecionar silenciosamente as ligações dos dispositivos.

O que ajuda de verdade

  • Prefira dispositivos certificados. A certificação Play Protect é a linha divisória mais clara — explicamos como verificar a sua no nosso guia de dois minutos.
  • Nunca desative a proteção da plataforma — Play Protect nos dispositivos Android TV e Google TV certificados, ou os controlos integrados nas outras plataformas — e trate instruções do tipo «desative X para concluir a instalação» como um sinal de alarme.
  • Segmente a sua rede. Coloque televisores, câmaras, altifalantes e robôs aspiradores numa rede Wi-Fi separada dos telefones, computadores e NAS — e confirme que a separação bloqueia realmente o acesso à sua rede local, porque uma rede de convidados mal configurada dá uma falsa sensação de segurança.
  • Mantenha o firmware e o router atualizados, e remova qualquer aplicação que não tenha instalado você mesmo — lojas adicionais, «boosters», «limpadores».

E se suspeitar que a própria box está comprometida — extras pré-instalados que nunca instalou, tráfego inexplicável — desinstalar aplicações pode não bastar: este tipo de implantes vive na partição de sistema, e um restauro de fábrica pode não os remover. Desligue-a da rede, deixe de a usar para contas sensíveis, verifique se o fabricante publica um firmware limpo e assinado, e substitua o dispositivo se a cadeia de confiança não puder ser restabelecida. Uma aplicação que corre sobre firmware comprometido não pode ser plenamente fiável a ver ou a remover o que está por baixo.

A boa notícia: é um problema bem documentado, com um conjunto de defesas identificável. A parte incómoda é que as mesmas condições de mercado já produziram uma nova operação quase todos os anos — e as boxes continuam nas prateleiras.

Fontes

A Deltavant é uma aplicação antimalware no dispositivo para Android TV e Google TV, atualmente em testes fechados no Google Play. Saber mais sobre o Deltavant.