1,3 million de box Android TV transformées en relais pour escrocs, par leur propre fabricant
Google et ses partenaires ont démantelé XCPE, une porte dérobée installée d'usine sur 1,3 million de box Android. Le fabricant est banni. Vérifier la vôtre.
Vous branchez une petite box télé achetée pas cher, elle affiche vos films et vos vidéos, tout va bien. Pendant ce temps, votre connexion sert de relais à des inconnus pour cliquer sur des publicités ou masquer leurs traces. Pour 1,3 million d’appareils dans plus de 200 pays, ce n’était pas un scénario.
Google et une coalition d’entreprises de sécurité (Lumen, Human Security, Plume, Synthient et TrendAI), travaillant avec la police nationale japonaise, ont démantelé XCPE, la porte dérobée qui tenait ce réseau d’appareils zombies, rapporte The Register.
Le coupable vendait les box
Le plus étonnant, c’est le coupable désigné. Le groupe de renseignement sur les menaces de Google estime « avec une grande confiance » que la porte dérobée a été développée et exploitée par Videostrong Technology, un fabricant de box et de projecteurs basé à Shenzhen, pour en tirer de l’argent.
Selon Google, Videostrong a glissé XCPE dans le micrologiciel de ses appareils, sur plusieurs marques et modèles et pendant des années, puis vendu l’accès à des « affiliés » criminels. Un faux agent de gestion à distance donnait à l’opérateur le contrôle total de chaque box : installer ou supprimer des applications, changer les réglages.
Ce que faisaient les box à votre insu
- Servir de proxy résidentiel : faire passer le trafic d’autres personnes par votre connexion, avec des logiciels associés à des services comme Honeygain, NetNut ou Traffmonetizer, selon BleepingComputer.
- Frauder la publicité : afficher des annonces invisibles, charger des pages cachées et cliquer à votre place.
- Installer d’autres portes dérobées, prêtes à télécharger de nouveaux logiciels malveillants.
Le fabricant banni
Google a rompu avec Videostrong, lui a retiré sa licence pour fabriquer des box Android TV avec les services Google, et interdit à l’entreprise et à ses futurs affiliés de produire des appareils certifiés. Le code malveillant se chargeait après le premier démarrage pour échapper aux tests : Google dit avoir revu sa procédure de certification.
Votre box est-elle concernée ?
Les sources consultées ne publient pas la liste des marques revendues. Quelques vérifications restent utiles :
- Dans les paramètres du Play Store, rubrique « À propos », la ligne « Certification Play Protect » indique si l’appareil est certifié.
- Une box sans marque connue, vendue avec des chaînes « gratuites » préinstallées, mérite la méfiance.
- Un doute ? Débranchez-la : une box éteinte ne relaie rien. Une box fournie par votre opérateur ou une marque établie réduit le risque.
La télé connectée n’en finit pas de faire des choses dans votre dos (on en avait parlé : rendre sa TV connectée « bête »). Cette fois, c’était votre propre connexion qui travaillait pour d’autres.
En bref
- Google, cinq entreprises de sécurité et la police japonaise ont démantelé le réseau XCPE : plus de 1,3 million de box Android dans plus de 200 pays.
- Google attribue la porte dérobée, installée d’usine, au fabricant chinois Videostrong Technology, qui vendait l’accès à des criminels.
- Les box servaient de proxy résidentiel, fraudaient la publicité et installaient d’autres logiciels malveillants.
- Videostrong est banni de la certification Android ; vérifiez la certification Play Protect de votre box.
Sources : The Register, BleepingComputer, The Verge.
Cet article…
Le Bien Heureux · Rédaction Capibara · Mardi 3 novembre 2026