Google démantèle XCPE, un botnet de 1,3 million de boîtiers TV piégés en usine

Google a démantelé XCPE, un réseau de plus de 1,3 million d’appareils Android, surtout des boîtiers TV, en s’emparant des serveurs qui le pilotaient, rapporte 01net.

L’opération a été menée avec la police nationale japonaise et plusieurs entreprises de cybersécurité (cinq, selon Clubic). Le Google Threat Intelligence Group, la branche de Google qui analyse les menaces, désigne Videostrong, une entreprise chinoise basée à Shenzhen.

Le second chiffre découle d’une décision de justice : avec l’accord des tribunaux, Google a coupé les serveurs d’une douzaine de familles de logiciels malveillants reposant sur la même infrastructure. Selon TrendA, la Malaisie, le Brésil, l’Irak, le Mexique et Taïwan sont les pays les plus touchés.

Un piège posé dans l’usine

D’après Google, Videostrong a glissé la porte dérobée x.cpe dans le système de ses propres boîtiers au moment de la fabrication. L’acheteur ne pouvait donc rien faire : le logiciel disposait des privilèges système les plus élevés et se réinstallait au redémarrage, même supprimé. Google affirme avoir trouvé ce code dans de nombreux modèles et marques, sur plusieurs années, et écarte l’idée d’un employé isolé ou d’une erreur de développement.

Videostrong vendait ensuite l’accès à des groupes criminels. Ceux-ci installaient des modules de fraude publicitaire, qui chargeaient des pages invisibles et cliquaient à la place du spectateur, ainsi que des modules de proxys résidentiels, notamment ceux de Linkfog et NetNut. Ces derniers font passer le trafic de leurs clients par la connexion du foyer, à l’insu du propriétaire. Parfois, trois logiciels de ce type tournaient sur un seul boîtier.

Les chercheurs de Synthient ont remonté la piste à partir d’un boîtier MECOOL KM9PRO Max acheté fin 2025. Le domaine videostrong.cn pointait vers le serveur de commande, et les portes dérobées étaient signées avec des adresses e-mail de l’entreprise.

Une partie de ces appareils portait pourtant la certification Android TV. Videostrong a déjoué les contrôles en masquant son code et en chargeant les éléments malveillants après le premier démarrage ; Google a depuis corrigé sa procédure d’examen. Fin 2024, le fabricant a déplacé les modules vers l’application com.abc.nexus, remplacée à partir d’août 2026 par de petites applications déguisées en composants Android.

Ce que la porte dérobée permettait

• désactiver Play Protect, la protection intégrée d’Android, dès la mise sous tension ;
• installer des applications à l’insu du propriétaire ;
• exécuter des commandes avec les droits du système ;
• faire des captures d’écran et simuler des frappes au clavier ;
• voler des identifiants, des données sur l’appareil et des journaux système.

Que faire d’un boîtier concerné

Google a coupé les boîtiers de leurs serveurs de commande, mais x.cpe reste sur les appareils déjà vendus. Le botnet est donc hors service sans que le boîtier soit assaini.

La plupart viennent de petites marques chinoises : MECOOL, Dreamstar, Cruze TV, Switron ou Showbox. Google ne publie ni la liste des modèles touchés ni le nombre d’appareils par pays. Il conseille de se méfier des applications qui rémunèrent la bande passante inutilisée, car les réseaux de proxys y recrutent de nouveaux appareils.

Côté sanctions, Google a rompu avec Videostrong, qui ne peut plus produire d’appareils certifiés Android TV. Le groupe et ses futures filiales ne peuvent ni fabriquer d’appareils certifiés ni fournir de logiciels à des fabricants agréés. Gavin Reid, responsable de la sécurité chez HUMAN Security, souligne qu’une action collective de ce type « interrompt l’infrastructure nécessaire à la monétisation, augmente le coût d’exploitation de ces réseaux et affaiblit les incitations qui les font vivre ».

Photo : Lisa Fotios / Pexels