Boîtiers TV Android piégés : un fabricant chinois intègre un malware sur 1,3 million d’appareils

Acheter un boîtier multimédia neuf ne garantit plus son intégrité. Une vaste opération conjointe menée par Google et plusieurs sociétés de cybersécurité a permis de neutraliser l’infrastructure du botnet X.CPE. 

Ce réseau criminel exploitait plus de 1,3 million de boîtiers Android TV. Le code malveillant n’a pas été injecté par des pirates externes via une faille logicielle, mais directement intégré en usine par le fabricant lui-même.

Une porte dérobée installée dès la fabrication

L’enquête technique menée par l’équipe de renseignement sur les menaces de Google identifie l’entreprise chinoise Videostrong Technology comme la source du programme. Ce fournisseur concevait des boîtiers pour de nombreuses marques tierces. Le logiciel malveillant, baptisé X.CPE, était inscrit directement dans le firmware des appareils.

Les mesures de sécurité en place au moment de la certification étaient contournées grâce à des techniques d’obfuscation.Le code se chargeait uniquement après le premier démarrage de l’équipement par l’acquéreur. Même lorsqu’un utilisateur tentait de supprimer le composant suspect, la structure de la porte dérobée assurait sa réinstallation automatique à chaque redémarrage du système.

Monétisation de la bande passante et proxys résidentiels

Une fois connectés à Internet, les boîtiers compromis communiquaient avec des serveurs de commande et de contrôle via des protocoles HTTP et MQTT. Le fabricant monétisait l’accès à ce parc en louant les connexions des particuliers à des réseaux tiers.

Les activités relevées par les chercheurs incluent :

• La revente de la bande passante résidentielle sous forme de proxy pour masquer des trafics externes.
• La génération de clics frauduleux pour fausser des campagnes publicitaires en ligne.
• Le téléchargement à distance de modules additionnels, transformant les box en plateformes de diffusion de charges virales
• La neutralisation partielle des outils de protection intégrés comme Google Play Protect.

En plus des boîtiers TV traditionnels, l’infection a touché des équipements connectés basés sur Android, tels que des écrans d’affichage dynamique, des machines de karaoké et des terminaux de télésanté.

Mesures de rétorsion et nettoyage des appareils

Face à l’ampleur de la compromission, Google a révoqué les partenariats avec Videostrong, interdisant à la société et à ses filiales de commercialiser des appareils certifiés Android. Des actions en justice ont permis de saisir les domaines servant de relais au botnet, coupant l’accès aux serveurs de pilotage.

La neutralisation des serveurs bloque l’activité du réseau mais ne supprime pas le code résident stocké dans la mémoire flash des boîtiers. Les experts en sécurité recommandent de remplacer les modèles issus des gammes ciblées ou de déconnecter définitivement du réseau les boîtiers de marques peu connues ne bénéficiant d’aucun suivi officiel. L’utilisation de constructeurs répertoriés dans l’écosystème officiel Google TV et Android TV limite ce type de risque.