Android.Vo1d

01Sumário executivo

Este relatório perfila o Android.Vo1d, backdoor para aparelhos Android sem certificação do Google, em duas gerações. A primeira foi descrita pela Doctor Web em 12 de setembro de 2024, com cerca de 1,3 milhão de aparelhos em 197 países [1]. A segunda foi descrita pela XLab, da Qi An Xin, em 27 de fevereiro de 2025, com pico de 1.590.299 aparelhos ativos em 19 de janeiro de 2025 e centenas de sementes de um algoritmo de geração de domínios de comando [2]. A XLab trata a segunda como uma nova variante da mesma botnet, não como uma ameaça diferente [2].

O aparelho infectado é uma TV box barata, montada sobre o AOSP (Android Open Source Project), sem a certificação Play Protect. O Google afirma que o Vo1d não roda em aparelhos certificados vendidos como Android TV [3] [4]. O vetor de infecção da primeira geração continua desconhecido: a Doctor Web aponta como hipóteses um malware intermediário que obtém root por vulnerabilidades do sistema ou firmware não oficial com root embutido [1].

A segunda geração troca o simples backdoor por uma plataforma. Baixa módulos criptografados, esconde o servidor de comando atrás de uma lista de domínios gerados por algoritmo e protege as ordens com uma chave RSA de 2.048 bits, de modo que um pesquisador que registre um dos domínios não consegue emitir comando [2]. Os módulos baixados transformam o aparelho em proxy e em executor de fraude publicitária [2].

Avaliamos a severidade como alta. O dano individual a cada dono de TV box é baixo, mas o conjunto é grande, está concentrado no Brasil, esconde a origem de ataques de terceiros e não tem correção possível de dentro do aparelho. A seção 09 trata de caça na rede e no próprio aparelho, e a seção 10 de contenção e substituição.

02Identificação do objeto analisado

A Doctor Web nomeia cada componente com um sufixo numérico. Isso importa porque o nome genérico Android.Vo1d não casa com a consulta feita pelo sufixo [1] [5]:

03Contexto técnico: TV box, AOSP e certificação

Três conceitos explicam por que o Vo1d existe em escala e por que ele é difícil de remover.

AOSP e Android TV certificado

O AOSP é o código aberto do Android. Qualquer fabricante pode compilá-lo, mas só a versão certificada pelo Google leva o Play Protect, as atualizações de segurança do Google e o rótulo Android TV. O Google afirma que as TV boxes infectadas rodam builds modificados do AOSP, apresentados como Android TV, e que nenhum aparelho Android TV certificado foi afetado [3] [4].

Partição de sistema e root

O Vo1d grava arquivos em /system, o que exige acesso de escrita ao sistema, ou seja, root [1]. Aplicativos comuns não conseguem isso. Quando o root é entregue de fábrica ou por firmware não oficial, o malware é gravado onde a limpeza do usuário não chega.

Algoritmo de geração de domínios (DGA)

Um DGA calcula, a partir de uma semente, uma lista de nomes de domínio que o malware tenta contatar. O operador registra só alguns deles, quando precisa. Bloquear uma lista fixa de domínios não basta, porque o próximo lote ainda nem foi registrado [2].

04Primeira geração: o backdoor de 2024

4.1Como foi descoberta

Em agosto de 2024, usuários de TV boxes relataram à Doctor Web que o antivírus detectava mudanças nos arquivos de sistema do aparelho. Os arquivos alterados eram install-recovery.sh e daemonsu, e apareciam arquivos novos, entre eles /system/xbin/vo1d e /system/xbin/wd [1].

4.2Componentes e persistência

A Doctor Web descreve três mecanismos independentes de autoinício para o componente wd, de modo que um deles sobrevivendo já garanta o relançamento após reiniciar o aparelho [1]:

• uma entrada de inicialização do wd em install-recovery.sh, que o sistema executa na partida, ou o arquivo criado do zero quando não existia;
• uma entrada equivalente em daemonsu;
• a substituição do binário /system/bin/debuggerd por um script que lança o wd, com uma cópia em /system/bin/debuggerd_real. Em um dos casos, essa cópia era do próprio script, e o debuggerd original já não existia.

O Vo1d.1 relança o Vo1d.3 quando preciso e baixa e executa arquivos por ordem do servidor de comando. O Vo1d.3 também baixa e executa arquivos, e monitora diretórios definidos para instalar qualquer APK que apareça neles. O Vo1d.5 roda sob o Vo1d.3, e a fonte não detalha sua função além disso [1].

4.3Aparelhos citados

A Doctor Web listou três modelos de TV box com infecção confirmada, e adverte que as versões declaradas podem estar erradas, pois alguns aparelhos parecem rodar Android 7.1 [1]:

4.4Como o aparelho foi infectado

A Doctor Web não conseguiu determinar o vetor. Apresenta duas hipóteses: um malware intermediário que explora vulnerabilidades do sistema para obter root, ou firmware não oficial já com root embutido [1]. Uma terceira via, citada por veículo de imprensa, é a pré-instalação por fabricantes em acordo com grupos de malware ou por software de serviços de streaming duvidosos [4]. Nenhuma das três foi comprovada pelas fontes.

05Segunda geração: a cadeia de 2025

5.1Linha do tempo da descoberta

A XLab reconstruiu a evolução da variante a partir de sinais de rede e de amostras. Os marcos principais são estes [2]:

5.2Estágios da cadeia

A XLab descreve a cadeia em cinco estágios encadeados, do baixador à lógica de negócio [2]:

5.3Limpeza das versões antigas

O componente cv remove os componentes de infecções anteriores antes de instalar os novos [2]. Isso tem duas consequências para quem caça, ambas inferências desta equipe a partir do comportamento descrito: um aparelho infectado pela primeira geração pode ter sido atualizado em silêncio para a segunda, e a ausência dos arquivos de 2024 não prova que o aparelho esteja limpo.

06Comando e controle e criptografia

6.1Domínios gerados por algoritmo

O algoritmo de geração de domínios é o mesmo descrito pela Doctor Web, mas com muito mais sementes: de quatro ou cinco na versão antiga, para 32 nesta variante, e 256 sementes identificadas em oito grupos nas amostras [2]. O algoritmo usa só os cinco primeiros bytes de cada semente e suporta os domínios de topo net, com e top. O topo xyz, embutido no código, não é usado [2]. Cada semente gera 220 ou 500 domínios.

Além do DGA, um redirecionador embutido devolve o endereço real do C2. A XLab cita pxleo5fbca7141b5[.]com e, como exemplo de endereço resolvido, 52.14.24.94:81. O servidor de comando central atende em vários portos: 55500, 55501, 55502, 55503 e 55600, e o porto 55560 mostrou grandes oscilações de volume [2].

6.2Cifras e formato das mensagens

As mensagens do baixador seguem o formato tamanho:comando:corpo, com 4 bytes de tamanho e 1 byte de comando. A configuração e as strings usam um cabeçalho de 3 bytes: o XOR dos bytes do cabeçalho dá o tamanho do corpo, e os dois primeiros bytes são as chaves de XOR. A XLab observa que o mesmo esquema aparece no Bigpanzi, mas considera isso insuficiente para ligar as duas famílias [2].

A criptografia de payload é um XXTEA padrão com uma única alteração: o deslocamento lógico à direita é trocado por um deslocamento aritmético. A XLab chama a variação de asr_xxtea e aponta que a chave XXTEA publicada pela Doctor Web estava errada [2]. As chaves públicas RSA estão embutidas no código, com expoente 65537, em dois conjuntos, um em little-endian e outro em big-endian, usados para embrulhar a chave do payload e proteger o C2.

6.3Chaves recuperadas pela XLab

07Monetização: proxy e fraude publicitária

O SDK Mzmess recebe do servidor uma lista de plugins e a executa. A XLab descreve quatro, que formam o modelo de negócio da botnet [2].

O efeito do proxy é que o tráfego de quem aluga a botnet sai pelo IP residencial do dono da TV box, misturando-se ao tráfego doméstico comum e escondendo a origem de atividade maliciosa [2]. A XLab propõe, como hipótese, um ciclo de aluguel e devolução: durante o aluguel os bots deixam a rede principal e a contagem cai, e na devolução voltam e a contagem sobe. Essa seria a explicação dos saltos súbitos, como o da Índia, que foi de 3.901 para 217.771 bots em três dias [2].

08Alcance e vitimologia

Entre 1 e 15 de fevereiro de 2025, a XLab mediu a participação de cada país nos bots ativos. O Brasil lidera com folga [2]:

Na primeira geração, os países com mais infecções, segundo a Doctor Web, foram Brasil, Marrocos, Paquistão, Arábia Saudita, Rússia, Argentina, Equador, Tunísia, Malásia, Argélia e Indonésia [1]. O Brasil aparece à frente nas duas medições, ainda que as ordens dos demais países difiram. A XLab registra também que a China passou de poucos bots para cerca de 20.000 ativos depois que o domínio .com de uma semente foi registrado, em 18 de janeiro de 2025, e que a contagem chegou perto de 50.000 mais tarde [2].

O Google afirma que o Vo1d não afeta aparelhos Android TV certificados pelo Play Protect, e que roda apenas em TV boxes com builds modificados do AOSP vendidos como se fossem Android TV [3] [4]. Para o comprador, a distinção é difícil de verificar na loja, porque a embalagem e o menu do aparelho usam o nome Android TV sem a certificação.

09Detecção

A caça vai do mais barato e abrangente para o mais caro e específico. As duas primeiras vias não exigem tocar no aparelho suspeito, o que importa porque ele pode estar comprometido de forma que não responde com honestidade.

9.1Inventário de TV boxes

Antes de caçar infecção, descubra quais aparelhos existem. A TV box raramente consta no inventário de ativos. Procure no DHCP, no ARP e no controlador de rede sem fio por aparelhos com fabricante de TV box, nome de host genérico ou de modelo, e sem certificação. Rede de visitantes, salas de reunião, recepção e áreas de convivência concentram esse tipo de equipamento.

9.2DNS e rede

O bot consulta nomes gerados por algoritmo e fala com servidores por portos fora do padrão. Procure, na origem de cada TV box, consultas aos domínios da seção 11 e conexões para a faixa de portos 55500 a 55503, 55560 e 55600.

let dominios = dynamic(["ssl8rrs2.com","ttekf42.com","ttss442.com","works883.com",
  "csskkjw.com","catmore23.com","synntre.com","csok997.com","conannt.com",
  "qocoll.com","haveits.com","remoredo.com","catmos99.com","catmore88.com",
  "works883.xyz","ssl87362.com","wowokeys.com","meiboot.com","bitemores.com"]);
let ips = dynamic(["38.46.218.36","38.46.218.37","38.46.218.38","38.46.218.39",
  "3.146.93.253","3.132.75.97"]);
DnsEvents
| where Name has_any (dominios)
| summarize Consultas=count() by ClientIP, Name
| union (
    CommonSecurityLog
    | where DestinationIP in (ips) or DestinationPort in (55500,55501,55502,55503,55560,55600)
    | summarize Sessoes=count() by SourceIP, DestinationIP, DestinationPort
  )

9.3Regras de rede e de DNS

# 1. Consulta DNS a dominio de C2 conhecido do Vo1d
alert dns $HOME_NET any -> any any (
  msg:"CIBERLAB VO1D CONSULTA DNS C2 CONHECIDO";
  dns.query; pcre:"/(^|\.)(ttss442|ttekf42|works883|ssl8rrs2|csskkjw|catmore23|catmore88|synntre|csok997|conannt|qocoll|haveits|remoredo|catmos99|ssl87362|wowokeys|meiboot|bitemores)\.(com|xyz)$/i";
  classtype:trojan-activity; priority:1;
  sid:9000201; rev:1;
)

# 2. Saida para o servidor de download do estagio 1
alert tcp $HOME_NET any -> [38.46.218.36,38.46.218.37,38.46.218.38,38.46.218.39] 9999 (
  msg:"CIBERLAB VO1D DOWNLOAD DO PACOTE TS01";
  flow:to_server; classtype:trojan-activity; priority:1;
  sid:9000202; rev:1;
)

9.4Inspeção do aparelho

Com depuração USB ou de rede habilitada, e apenas em aparelho isolado, verifique a presença dos artefatos listados pela Doctor Web e pela XLab. A ausência deles não prova que o aparelho está limpo, pelo motivo da seção 5.3.

# arquivos da primeira geracao
ls -l /system/xbin/vo1d /system/xbin/wd /data/google/daemon
ls -l /system/bin/debuggerd /system/bin/debuggerd_real
grep -l "wd" /system/etc/install-recovery.sh /system/xbin/daemonsu 2>/dev/null

# artefatos da segunda geracao
pm list packages | grep -i "com.google.android.gms.stable"
ls -l /data/system/startup

10Mitigação e resposta

10.1Contenção imediata

• Isole a TV box da rede principal. Mova-a para uma rede de visitantes ou de IoT sem rota para sistemas internos, ou desligue-a [2].
• Bloqueie na saída os domínios e endereços da seção 11 e busque retroativamente conexões passadas para eles.
• Registre o identificador do aparelho, o IP e o período de atividade, para correlacionar com alertas de abuso externos que citem o IP da organização.

10.2Erradicação

• Substitua o aparelho. A limpeza só é possível com acesso root pelo Dr.Web para Android [1], e uma reinstalação do firmware do próprio fornecedor pode restaurar o mesmo sistema comprometido, hipótese desta equipe, já que o vetor de infecção é desconhecido [1].
• Compre o substituto certificado, como um aparelho Android TV com Play Protect, de revendedor reconhecido [2] [3].
• Se for inevitável reaproveitar o hardware, grave firmware oficial e verificável de um fabricante conhecido, e trate isso como medida excepcional, não como limpeza.

10.3Avaliação de alcance

O dano do Vo1d é sobretudo externo, mas a TV box esteve na mesma rede que outros equipamentos e pode ter dado visibilidade a ela. Revise registros de abuso do período em busca de ataques que partiram do IP da organização, e verifique se a TV box estava na mesma sub-rede de estações, impressoras e câmeras. O plugin lxhwdg executa chamadas remotas de função, e a XLab não descreve o alcance delas porque o C2 estava fora do ar [2].

10.4Prevenção estrutural

10.5Mapeamento MITRE ATT&CK

As técnicas abaixo são da matriz Mobile do ATT&CK. Foram conferidas uma a uma em attack.mitre.org, e os nomes reproduzem o oficial de cada página [6]. A primeira tabela cobre da instalação à evasão:

A segunda tabela cobre comando e controle e impacto:

11Indicadores de comprometimento

Todos os indicadores abaixo vêm das fontes citadas [1] [2] [5], porque não houve análise local. Domínios, endereços e URLs aparecem desarmados de propósito e não devem ser transformados em link clicável. Primeiro estão os que vieram de análise de amostra, depois os de infraestrutura de plugins.

11.1Rede

11.2Artefatos no aparelho

11.3Hashes

12Limitações da análise

• Não houve detonação nem análise de amostra. Esta equipe não obteve nenhum binário nem aplicativo do Vo1d. Todo o conteúdo técnico vem das referências, e nenhuma afirmação aqui equivale a observação própria.
• As regras e consultas das seções 9.2 a 9.4 são derivadas, não validadas. Foram escritas a partir dos indicadores e do comportamento descritos nas fontes, sem teste contra tráfego real nem contra um aparelho infectado.
• Não existe publicação sobre um componente "Vo1d.2". A análise da Doctor Web cita só os sufixos 1, 3 e 5 [1], e a XLab não usa sufixos [2]. O termo "segunda geração" deste relatório designa a variante de 2025, conforme a nota da seção 2.
• As fontes divergem entre si em alguns números, e a divergência não foi resolvida. O pico de bots é 19 de janeiro de 2025 na linha do tempo da XLab e 14 de janeiro em reportagem sobre ela [2] [3]. O número de países é 226 no corpo da XLab e "mais de 200" na introdução [2]. O total de domínios gerados aparece como 21.120 por grupo, mais de 21.000 e mais de 100.000 em trechos diferentes [2]. Este relatório evita um total geral de domínios.
• As contagens de bots vêm de sinkhole e de telemetria dos próprios pesquisadores [1] [2], e medem bots ativos por dia, não aparelhos distintos. Os números reais são desconhecidos. O número de 1,3 milhão da primeira geração e o de 1,59 milhão da segunda não são somáveis.
• O vetor de infecção é desconhecido. As hipóteses da seção 4.4 vêm das fontes e não foram confirmadas. A relação entre o Vo1d e o Bigpanzi também não foi estabelecida: a XLab encontra só um trecho de código de cifra em comum e diz que isso não basta [2]. Não há atribuição, e este relatório não propõe nenhuma.
• O plugin lxhwdg estava com o C2 fora do ar na análise [2], e sua capacidade real de chamadas remotas é desconhecida.
• Os hashes não foram conferidos em outro índice. Os MD5 vêm de uma única fonte [2] e os SHA-1 de outra [5], sem conferência em plataforma independente. A página do repositório da Doctor Web, ao ser lida, não identifica visualmente a coluna de cada hash, e eles foram agrupados pelos títulos de seção.
• Os endereços IP e domínios podem estar reaproveitados. Os indicadores têm mais de um ano, e o DGA gera domínios novos continuamente. Eles servem para caça retroativa.
• A fonte da XLab foi lida na versão em inglês, com apoio de reportagens que a citam [2] [3] [4]. Não consultamos outra versão do texto.
• Nenhuma referência estima aparelhos no Brasil em número absoluto. A participação de cerca de um quarto é percentual sobre bots ativos. A conta para centenas de milhares na seção 8 é uma ordem de grandeza.