120 000 boîtiers Android TV louaient la connexion internet de leurs propriétaires

Un boîtier Android TV bon marché posé sous le téléviseur fait rarement partie de la surface d'attaque que l'on surveille chez soi. Les chercheurs de Bitsight viennent de montrer pourquoi il le devrait : une série de boîtiers de streaming d'entrée de gamme est sortie d'usine avec une porte dérobée qui rapporte de deux façons à la fois, la fraude publicitaire et le rôle de noeud de sortie d'un réseau de proxys résidentiels qui fait transiter le trafic d'inconnus par la connexion domestique du propriétaire.

Un nom de domaine expiré a fait tomber toute l'opération

L'enquête a commencé par hasard. Pedro Fale, chercheur chez Bitsight, a enregistré un domaine expiré qui servait à la télémétrie d'une porte dérobée installée sur des boîtiers Android TV. Au lieu du silence, les appareils du terrain se sont mis à envoyer leurs rapports : plus de 65 000 remontées provenant d'environ 38 000 adresses MAC uniques en une seule journée. La plupart se présentaient non pas comme des boîtiers, mais comme des téléphones.

Les chercheurs ont baptisé l'opération Fuyao. Les données du sinkhole penchent vers d'anciens modèles d'une seule marque, H96, donc 38 000 est un plancher et non un plafond : les opérateurs eux-mêmes annoncent un parc de plus de 120 000 appareils.

Un boîtier, deux métiers, et c'est le câble HDMI qui tranche

Le plus curieux dans Fuyao tient à l'organisation du travail. Le logiciel malveillant vérifie si un câble HDMI est branché, signal fiable pour savoir si quelqu'un regarde vraiment la télévision :

• HDMI branché : le boîtier devient un noeud de sortie SOCKS5 et fait passer le trafic d'autrui par la ligne du propriétaire.
• HDMI débranché : le boîtier bascule sur la fraude publicitaire, usurpe l'identité matérielle de modèles répandus de Samsung, Huawei, Xiaomi et Vivo, et clique sur des publicités hébergées par des sites que les opérateurs gèrent eux-mêmes.

L'appareil rapporte de l'argent en continu, et le mode qui place le trafic d'un inconnu derrière l'adresse IP du foyer se déclenche précisément quand la famille regarde la télévision.

Vision par ordinateur et outil de code pour enfants

Pour repérer les emplacements publicitaires d'une page, l'application embarque un modèle de détection d'objets YOLOv8s entraîné sur douze éléments d'écran, dont les zones de bannières classiques et les widgets Taboola, et le combine aux données d'accessibilité d'Android et à la reconnaissance de texte de Google ML Kit. La logique des campagnes, elle, est assemblée dans Blockly, le langage visuel par blocs conçu par Google pour apprendre à programmer aux enfants : les employés emboîtent des blocs dans un éditeur maison, exportent le résultat en JavaScript et le déposent dans le cloud, où les boîtiers infectés viennent le chercher. Bitsight a récupéré environ 166 modules de fraude en deux passages.

L'économie est modeste par appareil et considérable au total. Une estimation prudente de 1 à 1,25 dollar par appareil et par jour donne environ 150 000 dollars par jour sur le parc annoncé, et jusqu'à 40 millions de dollars par an une fois pris en compte le filtrage antifraude et le taux de remplissage publicitaire.

Pourquoi un noeud proxy dans le salon est le problème du propriétaire

Un boîtier Fuyao sur six recoupait les données de proxys résidentiels commerciaux en 24 heures, et un sur quatre en sept jours. Bitsight y voit une location de bande passante aux fournisseurs de proxys résidentiels, ces services qui vendent des adresses IP domestiques "propres" à quiconque veut un trafic qui n'a pas l'air de sortir d'un centre de données.

Pour celui qui a acheté le boîtier, l'affaire est très concrète. Moissonnage de sites, essais de mots de passe volés, robots d'achat de billets et tentatives de fraude laissent l'adresse publique du foyer dans les journaux des victimes. Les conséquences arrivent plus tard et semblent sans rapport : CAPTCHA à répétition, services bloqués, comptes bannis, courriers du fournisseur d'accès. Le même schéma était à l'oeuvre dans le réseau NetNut bâti sur deux millions d'appareils piratés, démantelé par le FBI et Google en juillet.

À lire aussi : le FBI et Google démantèlent NetNut, un réseau de proxys bâti sur deux millions d'appareils piratés.

Comment vérifier un boîtier déjà installé

Google a confirmé que les appareils concernés ne sont pas certifiés Play Protect, autrement dit qu'ils n'ont jamais passé les tests de compatibilité et de sécurité d'Android. Ni Bitsight ni la presse n'établissent qui a installé les applications ni à quel maillon de la chaîne d'approvisionnement elles sont apparues, et aucune liste complète des modèles touchés n'existe.

• Vérifier la certification : Google publie la liste des appareils Android TV certifiés Play Protect ; un boîtier absent de cette liste n'a aucun historique de tests de sécurité.
• Regarder le trafic, pas l'écran : le symptôme le plus net est un appareil qui continue d'émettre alors que personne ne regarde. Les statistiques du routeur ou l'application du fournisseur le montrent.
• Mettre à jour le micrologiciel uniquement depuis le canal officiel du fabricant, et retirer du réseau les appareils qui ne reçoivent aucune mise à jour.
• Considérer le matériel "contenu gratuit" comme suspect. Après des campagnes antérieures, le conseil du FBI était direct : passer en revue les appareils connectés, débrancher les douteux et se méfier des boîtiers sans marque vendus sur la promesse de la télévision gratuite.

Ce que cela change pour l'hygiène du réseau domestique

La leçon utile de Fuyao, c'est que la réputation d'un réseau domestique se joue sur son appareil le plus faible. Une panoplie de protection qui couvre un ordinateur et un téléphone pendant qu'un boîtier sans marque expédie du trafic inconnu depuis la même adresse défend le mauvais périmètre. Les tunnels chiffrés valent pour ce qu'ils savent faire : soustraire la navigation au fournisseur d'accès et à celui qui gère le Wi-Fi public. Ce qu'ils ne savent pas faire, c'est répondre d'un matériel compromis avant même sa sortie d'usine. Isoler les objets connectés bon marché sur un réseau invité, ou les retirer, fait davantage pour l'adresse IP du foyer que n'importe quel abonnement.