Un botnet caché dans le boîtier
La nouvelle opération de sécurité de Google ne raconte pas l’histoire habituelle d’une application Android douteuse installée par erreur. Elle décrit un risque plus profond: des appareils qui pouvaient arriver chez l’utilisateur avec la capacité de rejoindre un réseau criminel déjà intégrée. Google Threat Intelligence Group affirme avoir démantelé, avec des partenaires industriels, la porte dérobée XCPE, qui avait enrôlé plus de 1,3 million de boîtiers TV dans un botnet; Google dit aussi évaluer avec une forte confiance que la porte dérobée et le botnet ont été développés, déployés et exploités intentionnellement à des fins financières par Videostrong Technology Co., un OEM et ODM Android .
C’est cette attribution qui rend l’affaire particulièrement grave. Selon Google, Videostrong ne se serait pas contenté d’expédier des appareils ensuite infectés par des tiers: l’entreprise aurait monétisé la porte dérobée en vendant l’accès à des affiliés criminels et en chargeant leurs modules malveillants sur les appareils compromis . Google indique que ces modules servaient à la fraude publicitaire, à l’enrôlement silencieux dans des réseaux de proxys résidentiels et au chargement d’autres malwares .
L’impact de l’opération dépasse même les 1,3 million d’appareils XCPE. Google dit avoir perturbé les domaines de commande et contrôle utilisés par les modules affiliés, et estime que cette action coupera l’accès à au moins 10 millions d’appareils compromis supplémentaires, parce que ces affiliés diffusaient aussi leurs modules par d’autres canaux que XCPE . Autrement dit, l’action a touché à la fois un implant de chaîne d’approvisionnement et une couche plus large de services cybercriminels.
Pourquoi XCPE n’était pas un malware Android ordinaire
Les affaires classiques de malware Android commencent souvent par une application malveillante, un paquet installé hors boutique officielle ou un lien de phishing. XCPE est différent parce qu’il se situait au niveau de l’écosystème matériel. TrendAI Research explique que les boîtiers concernés embarquaient un agent de gestion préinstallé nommé “x.cpe”, utilisant des techniques d’obfuscation pour échapper aux tests de sécurité préalables; après activation, il pouvait télécharger des logiciels indésirables et inscrire les appareils dans des réseaux de proxys résidentiels, des réseaux de fraude publicitaire, des réseaux de diffusion pair-à-pair et d’autres infrastructures grises sans consentement du propriétaire .
Pour beaucoup d’utilisateurs, le boîtier devait donc ressembler à un appareil ordinaire: il s’allumait, affichait des contenus et semblait fonctionner. En arrière-plan, il pouvait pourtant vendre ou détourner la bande passante du foyer. Plume, dont la télémétrie a contribué à repérer le botnet, décrit une menace invisible pour les abonnés: un boîtier peut fonctionner parfaitement tout en générant du trafic inexpliqué, en exposant des informations d’abonné et en fragilisant la confiance envers le fournisseur d’accès .
Techniquement, les opérateurs disposaient d’un contrôle étendu. BleepingComputer rapporte que les principaux composants de la porte dérobée, suivis sous les noms x.cpe et com.oemservice, s’exécutaient avec des privilèges système Android, contactaient une infrastructure de commande pour obtenir des identifiants de broker MQTT et permettaient aux opérateurs de déployer d’autres malwares ou d’exécuter des actions comme l’installation silencieuse d’applications, l’exécution de commandes shell, la capture d’écran, l’injection de frappes, la collecte de données de compte et d’appareil, la reconnaissance réseau et l’ouverture de shells inversés .
C’est ici que la notion d’appareil “certifié” devient centrale. La certification est censée signaler un socle minimal de compatibilité et de contrôle de sécurité. Mais XCPE montre qu’un appareil peut paraître fiable sur le papier tout en activant ensuite des chemins de code capables de le transformer en nœud de botnet administré à distance. Google affirme avoir trouvé ce logiciel malveillant directement intégré dans de nombreux modèles et marques pendant plusieurs années, avec une infrastructure dédiée et des configurations évolutives conçues pour échapper à la détection .
Une machine à revenus: proxys, publicité et pay-per-install
Les opérateurs de XCPE n’avaient pas besoin de casser les appareils ni d’afficher une rançon pour gagner de l’argent. Le modèle était plus discret. TrendAI indique que la flotte était gérée par l’agent x.cpe et par un module de monétisation appelé com.abc.nexus, capable de récupérer des charges utiles inscrivant les appareils dans des services rémunérés à la bande passante comme Traffmonetizer, Grass et Honeygain . Selon TrendAI, l’opération transformait les boîtiers TV en nœuds de sortie de proxys résidentiels, en cliqueurs de fraude publicitaire ou en nœuds de réseaux de diffusion pair-à-pair, tout en générant de l’argent sans que les propriétaires le sachent .
L’échelle suffit à inquiéter les équipes antifraude et les services en ligne. TrendAI affirme que sa télémétrie, mesurée entre juin et octobre 2026, a compté 1 472 554 appareils infectés sur 206 modèles dans plus de 170 pays, dont environ 1,33 million planifiés pour recevoir des modules de proxy et de fraude publicitaire . L’entreprise dit aussi avoir observé plus de 3,8 millions d’adresses IP résidentielles distinctes sur quatre mois, avec environ 182 000 IP résidentielles disponibles en moyenne chaque jour et un pic supérieur à 366 000 .
Les proxys résidentiels sont précieux parce qu’ils donnent à du trafic automatisé ou criminel l’apparence d’une connexion domestique ordinaire. Une tentative de connexion, une requête de scraping ou une interaction publicitaire provenant d’une IP de foyer peut contourner des contrôles qui bloqueraient un VPN de datacenter ou un hôte de botnet déjà connu. Un boîtier TV compromis devient donc plus qu’un gadget infecté: il devient un déguisement réutilisable pour le credential stuffing, la fraude publicitaire, l’aspiration de contenus et d’autres abus.
Le démantèlement et le bannissement
La réponse a combiné mesures réseau, actions juridiques et sanctions d’écosystème. Plume indique que les actions de Google comprenaient des procédures pour faire tomber les domaines et serveurs contrôlant le botnet X.CPE, des procédures visant les domaines de contrôle de plus d’une douzaine de familles de malwares chargées via XCPE, l’interdiction faite au fabricant responsable de construire et vendre des appareils Android certifiés, ainsi que des changements visant à protéger l’intégrité des firmwares certifiés .
L’annonce coordonnée publiée par Trend Micro cite Google, Plume, TrendAI, Lumen, HUMAN Security, Synthient et l’Agence nationale de police japonaise parmi les participants à l’effort d’identification et de disruption de X.CPE dans plus de 200 pays . Cette même annonce précise que le botnet était caché dans les appareils avant leur vente, utilisait les appareils et connexions internet des abonnés sans consentement, et donnait aux contrôleurs un accès distant pour exploiter les ressources haut débit .
La réponse de Google envers le fournisseur est inhabituellement ferme. Google affirme avoir rompu ses liens avec Videostrong et avoir interdit à l’entreprise de fabriquer des appareils avec des applications Google préinstallées, après avoir conclu que la campagne ne relevait ni d’un employé isolé ni d’une erreur de développement . TrendAI ajoute que Google a banni définitivement l’entreprise, ainsi que ses futures filiales ou affiliés, de la fabrication et vente d’appareils Android certifiés ou de la fourniture de logiciels à d’autres fournisseurs certifiés .
Ce qui relie l’affaire à Videostrong
Les recherches de Synthient apportent davantage de détails sur l’attribution. Son équipe dit avoir analysé des appareils MECOOL, découvert une porte dérobée préinstallée sous le nom com.oemservice et relié la campagne à Videostrong Technology Co., Ltd. . Synthient affirme avoir trouvé des recoupements d’infrastructure de commande, un répertoire public contenant des backdoors et un document signé par un directeur R&D de Videostrong, ainsi que des adresses e-mail Videostrong utilisées pour signer des backdoors .
Synthient dit aussi que son enquête a mis au jour plus de 1,3 million d’appareils compromis opérant dans une campagne plus large de pay-per-install, et recommande le retrait des appareils concernés des places de marché ainsi que leur élimination par les consommateurs, en raison du risque de malwares additionnels . Cette recommandation va plus loin qu’une simple réinitialisation, car plusieurs rapports soulignent que l’implant se situe à un niveau système privilégié.
BleepingComputer rapporte que, même si l’opération a perturbé XCPE, le malware n’a pas été retiré des appareils déjà infectés et peut se réinstaller depuis la partition /oem/ s’il est supprimé . Pour les propriétaires, cela crée un problème pratique: si aucun firmware propre n’est disponible, déconnecter ou remplacer le boîtier peut être la solution la plus sûre.
La leçon pour l’écosystème Android
XCPE met en lumière une faiblesse persistante du marché des appareils connectés bon marché. Des foyers et petites entreprises achètent des boîtiers TV, projecteurs ou écrans intelligents peu coûteux parce qu’ils fonctionnent et ne coûtent pas cher. Mais si la chaîne firmware est compromise, le propriétaire peut ne voir aucun signe évident et ne disposer d’aucun moyen réaliste de réparation.
Pour Android, la leçon n’est pas seulement que les malwares existent. Elle est que la confiance doit être maintenue après la certification, à travers les OEM, ODM, marques blanches, mises à jour de firmware et mécanismes d’activation après premier démarrage. Google dit avoir modifié son processus d’examen en réponse aux techniques utilisées pour contourner les tests . C’est crucial, car le prochain botnet n’aura pas besoin de s’appeler XCPE pour reprendre la même logique économique: vendre des millions d’appareils bon marché, monétiser discrètement leur bande passante et laisser l’utilisateur regarder la télévision pendant que le boîtier auditionne pour Skynet.
Pour les utilisateurs, les conseils sont simples mais urgents. Éviter les boîtiers Android TV sans marque ou anormalement bon marché, surtout lorsqu’ils sont promus pour le sideloading ou le piratage. Isoler les objets connectés sur un réseau séparé si possible. Surveiller les usages de bande passante inexpliqués. Et si un appareil apparaît dans des rapports crédibles liés à XCPE ou BadBox, le traiter non comme un gadget capricieux, mais comme un matériel potentiellement hostile.
Le démantèlement est une victoire pour Google et ses partenaires, mais aussi un avertissement. Un botnet n’a plus forcément besoin de forcer la porte de votre salon. Parfois, il arrive sous film plastique, se branche en HDMI et fonctionne assez bien pour que personne ne se demande ce qu’il fait d’autre.
Commentaires
Sois le premier à commenter.