Google démantèle un botnet de 1,3 million de box TV infectées dès l'usine

Google et ses partenaires ont démantelé XCPE, un botnet de plus de 1,3 million de box Android TV, et banni le fabricant chinois qui, selon Google, l'a lui-même construit. Le logiciel malveillant n'est pas arrivé par une mauvaise application ni par un piratage : il a été inscrit dans le firmware dès l'usine. Le Threat Intelligence Group de Google (GTIG) estime « avec un haut degré de confiance » que la porte dérobée a été « intentionnellement développée, déployée et exploitée à des fins lucratives » par Videostrong Technology, un fabricant qui produit des box pour de nombreuses marques. Le rapport a été publié le 2 novembre.

Une porte dérobée installée en usine

Les composants principaux, x.cpe et com.oemservice, tournent avec les privilèges système d'Android. Grâce à eux, les opérateurs pouvaient installer des applications en silence, désactiver Google Play Protect, exécuter des commandes, faire des captures d'écran, simuler des frappes au clavier et collecter des données sur les comptes et l'appareil. Si le logiciel malveillant est supprimé, il se réinstalle depuis la partition /oem/ au redémarrage, si bien qu'une réinitialisation d'usine ne sert à rien. Selon Google, le code a été intégré à « de nombreux modèles et marques différents pendant plusieurs années », et il s'agit d'une activité délibérée, pas de « l'acte isolé d'un employé malveillant ni d'un oubli de développement ».

La société de sécurité Synthient, l'un des partenaires, a acheté fin 2025 une box MECOOL KM9PRO Max et y a trouvé le logiciel malveillant déjà installé, rapporte BleepingComputer. Sur un serveur ouvert du botnet, elle a aussi trouvé des documents du directeur R&D de Videostrong, et les portes dérobées étaient signées avec des adresses e-mail de l'entreprise. La plupart des appareils infectés sont des box TV, mais Google a aussi trouvé la porte dérobée dans des appareils de télémédecine, des machines de karaoké et des écrans d'affichage numérique. Le botnet est réparti dans le monde entier, et Google n'a pas publié de répartition par pays.

Comment les box rapportaient de l'argent à d'autres

D'après Google, Videostrong vendait l'accès à la porte dérobée à des « affiliés » criminels et chargeait leurs modules sur les box. Certains transformaient les appareils en nœuds de sortie de réseaux de proxys résidentiels : le trafic d'inconnus passait par la connexion et l'adresse IP du propriétaire. Google cite notamment Linkfog, AppSalt/Honeygain, GaGaNode, NetNut et Traffmonetizer parmi les services de proxy concernés. Un SDK, écrit Google, cochait lui-même la case du consentement « sans afficher la moindre interface ». D'autres modules pratiquaient la fraude publicitaire en chargeant des pages cachées et en enregistrant de fausses impressions, et certains installaient d'autres portes dérobées que Google avait déjà reliées à l'opération BadBox.

Pour le propriétaire, ce n'est pas qu'une box qui rame. Son adresse IP apparaît dans un trafic qu'il n'a jamais envoyé, ce qui peut entraîner des captchas, des comptes bloqués et des soupçons pour des activités auxquelles il est étranger.

Ce qu'a fait Google

Avec l'Agence nationale de police du Japon et les sociétés Lumen, HUMAN Security, Plume, Synthient et TrendAI, Google a engagé une action en justice pour faire tomber les domaines et serveurs qui pilotaient XCPE. Les serveurs de commande de plus d'une douzaine de familles de logiciels malveillants chargés via la porte dérobée ont aussi été visés, ce qui coupe au moins 10 millions d'appareils infectés supplémentaires. Google a rompu avec Videostrong et lui a interdit, ainsi qu'à ses futurs affiliés, de fabriquer des appareils Android certifiés ou de fournir des logiciels à des fabricants certifiés. L'entreprise reconnaît que Videostrong a contourné les tests de certification par obfuscation et chargé le code malveillant après le premier démarrage, et dit avoir modifié sa procédure de contrôle.

Comment se protéger

• N'achetez des box TV que de marques figurant sur la liste des partenaires Android TV certifiés de Google. Les box sans marque bon marché vendues sur les places de marché sont les plus exposées. Comme le montre cette affaire, la certification n'est pas une garantie absolue, mais elle reste le meilleur filtre disponible.
• Si vous avez une MECOOL KM9PRO Max ou une autre box suspecte, la réinitialiser ne sert à rien : le logiciel malveillant revient depuis la partition système. Déconnectez-la d'Internet dès maintenant et prévoyez de la remplacer par un modèle certifié : une box impossible à nettoyer n'est pas sûre à l'usage.
• Laissez Google Play Protect activé et n'installez des applications que depuis des boutiques de confiance.
• Fuyez les applications qui vous paient pour votre « bande passante inutilisée » ou pour « partager votre connexion ». C'est précisément ainsi que les proxys résidentiels recrutent des appareils.
• Consultez dans votre routeur la liste des appareils connectés et les statistiques de trafic. Une box qui envoie beaucoup de données alors que la télévision est éteinte doit alerter. Notre guide explique comment vérifier si une box TV travaille pour quelqu'un d'autre.

Ce n'est pas le premier cas du genre. Cet été, nous avons parlé des 120 000 box Android TV qui louaient la connexion de leurs propriétaires et du démantèlement du botnet de proxys NetNut. XCPE est plus grand, et cette fois Google désigne le fabricant lui-même.