Plus de 1,3 million de boîtiers Android TV auraient été enrôlés dans un réseau informatique malveillant baptisé XCPE, selon Google. Le groupe américain annonce avoir contribué à son démantèlement avec l’Agence nationale de la police japonaise et plusieurs entreprises spécialisées, dont Lumen, HUMAN Security, Plume, Synthient et TrendAI. Un botnet désigne un ensemble d’appareils infectés, contrôlables à distance par un opérateur.
La particularité de cette affaire tient à l’origine de l’infection. D’après le rapport du Google Threat Intelligence Group — ou GTIG, l’équipe de Google consacrée à l’analyse des menaces — le programme malveillant était présent dans le firmware de nombreux modèles. Ce logiciel interne permet à un appareil de fonctionner et de communiquer avec ses composants. Les utilisateurs pouvaient donc acheter un boîtier déjà compromis, sans installer d’application suspecte ni effectuer de manipulation particulière.
« Avec un haut degré de confiance », Google estime que la porte dérobée et le botnet ont été développés, déployés et exploités à des fins lucratives par Videostrong Technology.
Le fabricant chinois Videostrong Technology produisait des appareils Android pour d’autres marques. Selon Google, la porte dérobée, désignée sous le nom de XCPE, bénéficiait de privilèges élevés. Sa suppression par l’utilisateur ne suffisait pas : le programme pouvait se réinstaller lors du redémarrage du boîtier. Le dispositif aurait ainsi permis de désactiver Google Play Protect, le mécanisme de protection intégré à Android, mais aussi de réaliser des captures d’écran et de recueillir des informations liées aux comptes.
Les appareils compromis pouvaient être exploités de plusieurs manières, au-delà du simple contrôle d’un boîtier de télévision :
- fraude publicitaire, en générant artificiellement des consultations ou des interactions ;
- revente de la connexion Internet des particuliers à des services de proxys résidentiels ;
- installation d’autres logiciels malveillants sur les équipements déjà infiltrés.
Le rôle de proxy résidentiel est particulièrement sensible pour les propriétaires concernés : leur connexion peut servir de relais à des communications provenant de tiers, avec une adresse Internet semblant correspondre à leur domicile. Le problème ne se limitait toutefois pas aux boîtiers destinés au streaming. Google dit avoir identifié la même porte dérobée sur des appareils de télésanté, des machines de karaoké et des écrans d’affichage dynamique.
Des serveurs neutralisés et une certification revue
Pour interrompre le fonctionnement du réseau, Google indique avoir engagé des actions en justice afin de faire fermer les domaines et les serveurs utilisés pour piloter XCPE. Les démarches visaient également les infrastructures associées à une douzaine de familles de logiciels malveillants diffusées par ce canal. Selon l’entreprise, ces mesures ont coupé l’accès à au moins 10 millions d’autres appareils compromis, au-delà des 1,3 million de boîtiers directement associés à XCPE.
| Donnée | Élément communiqué par Google |
|---|---|
| Réseau XCPE | Plus de 1,3 million de boîtiers Android TV |
| Autres appareils concernés | Télésanté, karaoké et affichage dynamique |
| Infrastructures coupées | Accès à au moins 10 millions d’appareils compromis |
Google annonce par ailleurs l’exclusion de Videostrong et de ses futures filiales du programme des appareils Android certifiés. Le groupe reconnaît que le fabricant avait exploité une faiblesse dans le processus de certification : le code malveillant était chargé après le premier démarrage, ce qui lui permettait de passer les vérifications initiales. Google affirme avoir modifié sa procédure de contrôle en conséquence.
Cette affaire rappelle la limite des protections installées sur un appareil lorsque la compromission intervient avant sa mise en vente. Une application supprimée par l’utilisateur peut être remplacée ; un composant incorporé au logiciel interne relève d’un autre niveau de confiance. Pour les détenteurs d’un boîtier Android TV, les informations fournies ne permettent pas d’identifier dans cet article les modèles ou les marques concernés. La prudence consiste donc à maintenir les mises à jour proposées par le fabricant, à vérifier l’origine et la certification de l’appareil et, en cas de doute, à consulter sa notice ou l’assistance du constructeur plutôt qu’à tenter de modifier son logiciel interne.
