Google annonce avoir démantelé le botnet XCPE, un réseau de plus de 1,3 million de boîtiers Android TV infectés par une porte dérobée (backdoor) préinstallée dans leur firmware. L’entreprise accuse le fabricant chinois Videostrong Technology d’avoir volontairement développé et exploité ce système pour générer des revenus en donnant accès aux appareils à des cybercriminels.
L’affaire est particulièrement préoccupante pour les utilisateurs : les appareils pouvaient être compromis dès leur achat, sans téléchargement d’une application douteuse ni manipulation particulière de leur part.
Une porte dérobée intégrée directement aux box Android TV
Avec le botnet XCPE, la porte dérobée était installée dans le logiciel interne de certains boîtiers multimédias sous Android TV. Elle fonctionnait avec des privilèges élevés, ce qui permettait aux hackers de prendre le contrôle des appareils à distance. Selon Google, plus de 1,3 million de boîtiers TV ont ainsi été concernés.
Une fois infectés, ces appareils pouvaient servir à différentes activités malveillantes. Des modules supplémentaires les transformaient notamment en proxys résidentiels : le trafic de tiers transitait alors par la connexion Internet de particuliers, donnant l’impression que les opérations provenaient de leur domicile. Le réseau pouvait également être utilisé pour la fraude publicitaire et pour installer d’autres logiciels malveillants.
Le problème ne concernait pas uniquement les boîtiers de streaming. Google indique avoir identifié la porte dérobée sur d’autres équipements Android, notamment des appareils de télémédecine, des systèmes de karaoké et des écrans d’affichage numérique.
Google accuse directement un fabricant chinois
Le fabricant mis en cause, Videostrong Technology, est basé à Shenzhen en Chine. Il produit notamment des boîtiers TV et des projecteurs tournant sous Android. Google estime avec un haut niveau de confiance que l’entreprise a conçu, installé et exploité volontairement cette porte dérobée à des fins financières. Selon son enquête, elle vendait l’accès aux appareils infectés à des groupes criminels qui pouvaient ensuite y déployer leurs propres modules malveillants.
Il se trouve que le logiciel était particulièrement difficile à détecter. Videostrong Technology a utilisé des techniques de dissimulation pour charger le code malveillant après le premier démarrage de l’appareil, échappant ainsi à une partie des contrôles de sécurité réalisés par Google avant la commercialisation. Le groupe indique avoir depuis renforcé ses procédures de vérification des firmwares.
Un démantèlement, mais pas une réparation des appareils
Pour neutraliser le botnet XCPE, Google et ses partenaires ont engagé des actions juridiques afin de faire fermer les domaines et serveurs utilisés pour piloter les appareils infectés et leur transmettre des logiciels malveillants. L’opération a mobilisé notamment la police nationale japonaise, Lumen, HUMAN Security, Plume, Synthient et TrendAI. Google a également rompu ses relations avec Videostrong Technology et lui interdit désormais de fabriquer des appareils certifiés Android intégrant ses applications ou de fournir des logiciels à d’autres fabricants certifiés.
L’opération dépasse même le seul botnet XCPE : Google estime que la neutralisation des serveurs de commande de plusieurs familles de logiciels malveillants pourrait couper l’accès à au moins 10 millions d’autres appareils compromis. Ce chiffre ne correspond donc pas au nombre de box infectées par XCPE, mais à une estimation plus large liée aux infrastructures criminelles visées.
Reste une difficulté pour les particuliers qui possèdent déjà l’un de ces appareils. La porte dérobée est intégrée au firmware et peut se réinstaller au redémarrage après une désinstallation classique. Le démantèlement des serveurs empêche les hackers de poursuivre leurs activités dans les mêmes conditions, mais ne garantit pas que le code malveillant ait disparu des boîtiers. Google ne fournit pas de procédure générale permettant de les assainir. En cas de doute sur un appareil concerné, le déconnecter d’Internet et envisager son remplacement constitue la précaution la plus prudente.
