Un botnet d’1,3 million de boîtiers Android TV démantelé, le fabricant accusé de complicité

Une coalition internationale menée par Google et l’agence nationale de police du Japon a démantelé fin octobre 2026 le botnet XCPE, un réseau de plus de 1,3 million de boîtiers de streaming Android TV infectés par une porte dérobée préinstallée en usine. L’opération a également neutralisé les serveurs de commande et contrôle utilisés par une douzaine de familles de logiciels malveillants apparentées, coupant l’accès à au moins 10 millions d’appareils supplémentaires compromis par d’autres vecteurs.

L’enquête, conduite par le groupe d’intelligence des menaces de Google (GTIG), pointe avec « une grande confiance » la responsabilité directe du fabricant chinois Videostrong Technology Co., basé à Shenzhen. Selon les conclusions techniques, l’entreprise a délibérément intégré la porte dérobée XCPE dans le firmware de ses appareils Android TV certifiés, puis vendu l’accès à ce réseau à des affiliés criminels. Ces derniers déployaient des modules malveillants pour la fraude publicitaire, la transformation des appareils en proxys résidentiels et l’installation de logiciels malveillants additionnels.

La portée de la compromission dépasse le seul écosystème Android TV. Parmi les 10 millions d’appareils supplémentaires identifiés, on trouve des boîtiers de vente au détail, des machines de karaoké et du matériel de télémédecine, dont une partie ne tourne pas sous Android. Cette diversité témoigne de l’étendue de la chaîne d’approvisionnement compromise et de la réutilisation du même code malveillant sur des plateformes matérielles distinctes.

En riposte, Google a révoqué la licence de Videostrong pour la fabrication d’appareils Android TV avec applications et services Google préinstallés, banni l’entreprise et ses futures filiales du programme de certification Android, et mis fin à toute relation commerciale. Le géant de Mountain View a également partagé les indicateurs de compromission avec l’industrie pour permettre le nettoyage des appareils déjà déployés chez les particuliers.

L’affaire soulève une question systémique : la confiance accordée aux fabricants d’équipements certifiés. Le programme Android TV exige des audits de sécurité, mais ceux-ci portent sur la conformité logicielle, pas sur l’intégrité de la chaîne de production matérielle. Un fabricant malveillant peut donc livrer un firmware conforme lors de la certification, puis le modifier ultérieurement en production. Le cas Videostrong démontre que ce scénario n’est pas théorique.

Pour les utilisateurs, la leçon est double. D’une part, un appareil « certifié » n’est pas une garantie absolue d’absence de porte dérobée matérielle. D’autre part, la segmentation du réseau domestique, isoler les objets connectés sur un VLAN distinct, bloquer les connexions sortantes non nécessaires, reste la défense la plus efficace contre ce type de compromission en amont.

Sources : The Hacker News, BleepingComputer, The Register