Android TV : Google démantèle un réseau de 1,3 million de boîtiers piégés

Google a annoncé avoir démantelé, avec plusieurs partenaires, le botnet XCPE, qui avait enrôlé plus de 1,3 million de boîtiers Android TV. Selon le groupe américain, le logiciel malveillant avait été installé volontairement par leur fabricant chinois, Videostrong.

Une porte dérobée intégrée au firmware

Dans un rapport de son équipe de renseignement sur les menaces (GTIG), Google estime « avec un haut degré de confiance » que la porte dérobée et le botnet ont été développés, déployés et exploités à des fins lucratives par Videostrong Technology, fabricant d'appareils Android pour d'autres marques. Le programme, baptisé XCPE, était préinstallé depuis plusieurs années dans le firmware de nombreux modèles. Supprimé par l'utilisateur, il se réinstallait automatiquement au redémarrage.

Videostrong vendait l'accès aux boîtiers infectés à des affiliés criminels, qui y installaient leurs propres modules : fraude publicitaire, revente de la connexion internet des propriétaires à des services de proxys résidentiels, téléchargement d'autres logiciels malveillants. La porte dérobée pouvait aussi désactiver Google Play Protect, réaliser des captures d'écran ou collecter des informations de compte. Si l'essentiel des appareils touchés sont des boîtiers Android TV, Google a aussi relevé des appareils de télésanté, des machines de karaoké et des écrans d'affichage dynamique.

Serveurs coupés et fabricant banni

Google indique avoir engagé des actions en justice pour faire fermer les domaines et serveurs qui pilotaient le botnet, ainsi que ceux d'une douzaine de familles de logiciels malveillants diffusées par ce biais. Selon lui, ces mesures coupent l'accès à au moins 10 millions d'autres appareils compromis. Videostrong et ses futures filiales sont désormais exclus des appareils Android certifiés. Google reconnaît que le fabricant exploitait une faille de ses tests de certification, en chargeant le code malveillant après le premier démarrage, et dit avoir revu sa procédure.

L'opération associait l'Agence nationale de la police japonaise, Lumen, HUMAN Security, Plume, Synthient et TrendAI. D'après le site spécialisé BleepingComputer, Synthient a découvert la porte dérobée sur un boîtier Mecool KM9 Pro Max acheté fin 2025.

Ce que peuvent faire les téléspectateurs

Le démantèlement prive le botnet de ses serveurs, mais ne nettoie pas les appareils : le logiciel reste logé dans le système. Selon BleepingComputer, seuls un firmware sain ou la déconnexion du boîtier d'internet empêchent toute nouvelle activité malveillante.

Google conseille d'acheter ses boîtiers auprès de fabricants réputés, dont la liste figure sur le site officiel d'Android TV, de s'en tenir aux boutiques d'applications de confiance et de vérifier que Google Play Protect est bien activé. Des précautions qui valent tout particulièrement pour les box Android bon marché de marques peu connues (voir aussi notre article Smart TV ou box Android).