Google a démantelé un botnet caché dans des box TV et a désigné l'entreprise qui les fabriquait. Le 2 novembre 2026, le groupe de renseignement sur les menaces de Google a publié un document intitulé Shutting the Door on the XCPE Botnet, indiquant que le botnet XCPE comptait plus de 1,3 million d'appareils dans plus de 200 pays et régions, en très grande majorité des décodeurs TV Android. Google a estimé avec un degré élevé de confiance que la porte dérobée avait été délibérément intégrée au micrologiciel, déployée et exploitée à des fins lucratives par Videostrong, un fabricant basé à Shenzhen. Google a rompu ses relations commerciales avec l'entreprise et lui a définitivement interdit de fabriquer des appareils Android certifiés.
La porte dérobée vivait dans le micrologiciel et dormait pendant les tests
Le cœur de la porte dérobée XCPE est un programme nommé x.cpe, qui apparaît aussi sous le nom com.oemservice dans certaines versions du micrologiciel, et qui fonctionne avec les privilèges système d'Android. Elle n'est pas arrivée lorsque les utilisateurs ont téléchargé une application ; elle a été écrite dans le micrologiciel avant la sortie d'usine des appareils. Selon l'enquête de Google, Videostrong maintenait la porte dérobée en sommeil pendant la soumission aux tests, échappant ainsi aux contrôles de compatibilité et de sécurité, et ne chargeait la charge malveillante qu'après le premier démarrage d'un appareil. Même supprimée, la porte dérobée se réinstalle depuis une partition du micrologiciel au redémarrage. Les appareils concernés n'étaient pas seulement des box TV : on comptait aussi des équipements de télémédecine, des machines de karaoké et des panneaux d'affichage numérique. Videostrong vend des box TV sous sa propre marque MECOOL tout en fabriquant du matériel pour d'autres marques, si bien que la même porte dérobée est apparue sur plusieurs marques et modèles. Les appareils compromis ont ensuite été loués à des groupes criminels pour la fraude publicitaire, le trafic proxy et l'installation d'autres logiciels malveillants.
Le démantèlement a dépassé les 1,3 million d'appareils
L'opération de démantèlement a eu lieu fin octobre et n'a été rendue publique que le 2 novembre. Google a travaillé avec l'Agence nationale de police du Japon, Lumen, HUMAN Security, Plume, Synthient et TrendAI, saisissant par voie judiciaire les serveurs de commande et les domaines du botnet. Google a estimé que la neutralisation de l'infrastructure de commande des groupes affiliés pourrait aussi couper les criminels d'au moins 10 millions d'appareils infectés supplémentaires. Ces 10 millions d'appareils ne font pas partie de XCPE lui-même ; ce sont d'autres appareils infectés par les mêmes canaux de distribution. Google a également indiqué avoir renforcé les contrôles d'intégrité du micrologiciel pour les appareils Android certifiés, afin de fermer la faille qui permettait à une porte dérobée de dormir pendant les tests et de s'activer après le premier démarrage.
Deux limites doivent être tracées. D'abord, l'attribution des 1,3 million d'appareils est une évaluation du groupe de renseignement sur les menaces de Google, et non une décision de justice. Ensuite, le document de Google n'offre aux utilisateurs ordinaires aucun moyen de supprimer eux-mêmes la porte dérobée des appareils déjà livrés ; c'est l'extrémité de commande qui a été neutralisée, pas le micrologiciel de chaque appareil. Pour les acheteurs de box TV Android bon marché, le vrai problème reste dans l'appareil lui-même : une porte dérobée écrite dans le micrologiciel d'usine peut ne pas disparaître, même après une réinitialisation d'usine.
